Besluit (EU) 2022/2359 van de Europese Centrale Bank van 22 november 2022 tot vaststelling van interne voorschriften betreffende beperkingen van de rechten van betrokkenen in verband met de interne werking van de Europese Centrale Bank (ECB/2022/42)

In forceVersion 2022-11-22from 2022-12-22

Grade B

mapped from publisher markup. A grade says how a document's structure was obtained, not how reliable the law is.

Ask Gelex about this law

Address https://gelex.eu/eli/EU/act/2022/2359@2022-11-22/nl

Contents

Preamble
1. Artikel 1 Onderwerp en toepassingsgebied
2. Artikel 2 Definities
3. Artikel 3 Toepassing van beperkingen
4. Artikel 4 Verstrekking van algemene informatie over beperkingen
5. Artikel 5 Beperking van het recht van inzage door betrokkenen, recht op rectificatie, recht op wissing of beperking van de verwerking
6. Artikel 6 Duur van de beperkingen
7. Artikel 7 Waarborging
8. Artikel 8 Beoordeling door de functionaris voor gegevensbescherming
9. Artikel 9 Inwerkingtreding
ANNEX
BIJLAGE I Beoordeling en rapportage van mogelijke inbreuken op de professionele verplichtingen en, indien nodig, het vervolgonderzoek en de opvolging daarvan
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
BIJLAGE II Informele en/of formele procedures inzake waardigheid op het werk, met inbegrip van de behandeling van zaken die kunnen leiden tot een procedure zoals opgenomen in deel 0.5 van de personeelsverordeningen en -regelingen van de ECB
a)
b)
c)
d)
e)
f)
g)
h)
i)
BIJLAGE III De uitoefening van de functies van DG/HR in het arbeidsrechtelijke kader van de ECB
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
BIJLAGE IV Het onderzoek van interne beroepen en de opvolging daarvan
a)
b)
c)
d)
e)
f)
g)
h)
i)
BIJLAGE V Het melden van illegale activiteiten of inbreuken op professionele verplichtingen die via enigerlei kanaal zijn ingediend, met inbegrip van het klokkenluidersinstrument van de ECB of de beoordeling getuigen door het bureau Naleving en Governance van verzoeken om bescherming van klokkenluiders
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
BIJLAGE VI Activiteiten van het CGO in het kader van de ECB-personeelsverordeningen en -regelingen
a)
b)
c)
d)
e)
f)
g)
h)
BIJLAGE VII Door het directoraat Interne audit uitgevoerde audits en onderzoeksactiviteiten of interne administratieve onderzoeken
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
n)
o)
p)
BIJLAGE VIII De uitoefening van de functies van de ECB krachtens Besluit (EU) 2016/456 (ECB/2016/3)
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
BIJLAGE IX Onderzoeken die krachtens artikel 4, punt b), van Besluit (EU) 2020/655 (ECB/2020/28) door de functionaris voor gegevensbescherming worden verricht
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
BIJLAGE X Onderzoeken met het oog op het waarborgen van de fysieke veiligheid bij de ECB van personen, gebouwen en eigendommen en voor het verzamelen van inlichtingen over dreigingen en analyse van veiligheidsincidenten
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
BIJLAGE XI Gerechtelijke procedures
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
BIJLAGE XII De samenwerking tussen de ECB en nationale met strafrechtelijke vervolging belaste autoriteiten, het EOM en EU-organen die een toezichts- of auditfunctie uitoefenen waaraan de ECB is onderworpen
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
n)
o)
BIJLAGE XIII De uitoefening van de taken van de bemiddelaar
a)
b)
c)
d)
e)
f)
g)
h)
BIJLAGE XIV De verlening van adviesdiensten door de sociaal raadgever
a)
b)
c)
d)
e)
f)
g)
h)
BIJLAGE XV
i)
ii)
iii)
iv)
v)
vi)

DE DIRECTIE VAN DE EUROPESE CENTRALE BANK,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien de statuten van het Europees Stelsel van centrale banken en van de Europese Centrale Bank, en met name artikel 11.6,

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit 1247/2002/EG, en met name artikel 25,

Overwegende hetgeen volgt:

(1) De Europese Centrale Bank (ECB) voert haar taken in overeenstemming met de Verdragen uit.

(2) Overeenkomstig artikel 45, lid 3, van Verordening (EU) 2018/1725, stelt Besluit (EU) 2020/655 van de Europese Centrale Bank (ECB/2020/28) algemene uitvoeringsvoorschriften voor Verordening (EU) 2018/1825 vast voor wat betreft de ECB. Het besluit bevat met name de regels betreffende de benoeming en de rol van de functionaris voor gegevensbescherming van de ECB, met inbegrip van de taken, verplichtingen en bevoegdheden van de functionaris voor gegevensbescherming.

(3) Bij de uitoefening van de aan de ECB opgedragen taken treedt de ECB, en met name de betrokken organisatorische eenheid, als verwerkingsverantwoordelijke op voor zover zij, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

(4) In verband met de interne werking van de ECB zijn verschillende bedrijfsonderdelen van de ECB (waaronder directoraat-generaal Personeelszaken (DG/HR), het bureau Naleving en Governance (CGO), het directoraat Interne Audit (D/IA) en het directoraat-generaal Juridische Diensten (DG/L)) belast met taken binnen het wettelijk kader voor de tewerkstelling bij de ECB die de verwerking van persoonsgegevens omvatten. Dergelijke taken kunnen bijvoorbeeld maatregelen omvatten die worden genomen in verband met mogelijke inbreuken op professionele verplichtingen (met inbegrip van onderzoeken naar ongepast gedrag in het kader van het raamwerk van de ECB inzake waardigheid op het werk en de opvolging van meldingen van illegale activiteiten of inbreuken op professionele verplichtingen die via elk kanaal, waaronder via het klokkenluidersinstrument van de ECB, worden ingediend); taken in verband met selectieprocedures; door DG/HR ondernomen taken bij de uitoefening van de functies in verband met het beheer van prestaties, promotie, de directe benoeming van ECB-personeel, professionele ontwikkeling inclusief de kalibratie van talent binnen en tussen bedrijfsonderdelen, salarisverhogingen en bonussen en besluiten inzake mobiliteit en verlof; het onderzoek van door ECB-personeel ingestelde intern beroep (onder meer door middel van administratieve toetsing, klachtenprocedures, bijzondere beroepsprocedures of medische comités) en de opvolging daarvan; de adviserende taken van het CGO krachtens het Ethisch Kader van de ECB opgenomen in deel 0 van de ECB-personeelsverordeningen en -regelingen) en de taken van het CGO met betrekking tot het toezicht op de naleving van particuliere financiële activiteiten (met inbegrip van samenwerking met externe dienstverleners die overeenkomstig artikel 0.4.3.3 van de ECB-personeelsverordeningen en regelingen zijn aangesteld); en de door D/IA uitgevoerde audits en uitgevoerde taken in het kader van administratieve circulaire 01/2006 betreffende interne administratieve onderzoeken bij het verrichten van onderzoeksactiviteiten en administratieve onderzoeken in situaties die mogelijk een disciplinaire dimensie hebben waarbij ECB-personeel betrokken is (met inbegrip van de taken van de personen die het onderzoek leiden of de leden van het onderzoekspanel wanneer zij verplicht zijn bewijsmateriaal te verzamelen en de relevante feiten vast te stellen).

(5) Krachtens Besluit (EU) 2016/456 van de Europese Centrale Bank (ECB/2016/3) moet de ECB, op verzoek van het Europees Bureau voor fraudebestrijding of op eigen initiatief van de ECB, informatie die in haar bezit is en die aanleiding geeft tot een vermoeden van mogelijke gevallen van fraude, corruptie of enige andere onwettige activiteit die de financiële belangen van de Unie schaden, doorgeven aan het Europees Bureau voor fraudebestrijding. Besluit (EU) 2016/456 (ECB/2016/3) bepaalt dat in een dergelijk geval de belanghebbenden snel worden geïnformeerd, mits dit het onderzoek niet zal schaden, en dat in elk geval geen conclusies mogen worden getrokken waarin de betrokkenen met name worden genoemd, zonder de betrokkenen in de gelegenheid zijn gesteld zich over alle hen betreffende feiten uit te spreken, waaronder feiten die tegen hen spreken.

(6) Krachtens artikel 4, punt b), van Besluit (EU) 2020/655 (ECB/2020/28) onderzoekt de functionaris voor gegevensbescherming aangelegenheden en incidenten in verband met gegevensbescherming, hetzij op eigen initiatief, hetzij op verzoek van de ECB.

(7) De afdeling Beveiliging binnen het directoraat Administratieve Diensten is verantwoordelijk voor het uitvoeren van onderzoeken met het oog op de bescherming van de fysieke beveiliging bij de ECB van personen, gebouwen en eigendommen voor het verzamelen van inlichtingen over dreigingen en voor de analyse van veiligheidsincidenten.

(8) De ECB heeft de plicht loyaal samen te werken met nationale autoriteiten, waaronder nationale met strafrechtelijke vervolging belaste autoriteiten. In het bijzonder kan de ECB krachtens Besluit (EU) 2016/1162 van de Europese Centrale Bank (ECB/2016/19), op verzoek van een nationale met strafrechtelijke vervolging belaste autoriteit, onder bepaalde voorwaarden door haar aangehouden vertrouwelijke informatie die verband houdt met de uit hoofde van Verordening (EU) nr. 1024/2013 aan de ECB opgedragen taken of andere ESCB/Eurosysteemtaken, aan respectievelijk een NBA of een NCB verstrekken voor openbaarmaking aan de betreffende nationale met strafrechtelijke vervolging belaste autoriteit.

(9) Krachtens Verordening (EU) 2017/1939 van de Raad moet de ECB het Europees Openbaar Ministerie (EOM) onverwijld alle informatie verstrekken wanneer een vermoeden van een strafbaar feit dat onder haar bevoegdheid valt wordt vastgesteld.

(10) De ECB moet samenwerken met EU-organen die een toezichts- of auditfunctie uitoefenen waaraan de ECB bij de uitoefening van hun respectieve taken onderworpen is, zoals de Europese Toezichthouder voor gegevensbescherming, de Europese Rekenkamer en de Europese Ombudsman. In dit verband kan de ECB persoonsgegevens verwerken om op verzoeken te kunnen reageren, met dergelijke organen te kunnen overleggen en informatie aan dergelijke organen te kunnen verstrekken.

(11) Krachtens het interne kader voor geschillenbeslechting bij de ECB kan het ECB-personeel te allen tijde en op enigerlei wijze contact opnemen met de bemiddelaar om diens hulp te vragen bij het oplossen of voorkomen van een arbeidsconflict. Dit kader bepaalt dat alle communicatie met de bemiddelaar vertrouwelijk is. Alles wat tijdens het bemiddelingsproces wordt genoemd, wordt als vertrouwelijk beschouwd en elke bij de bemiddeling betrokken partij mag deze informatie uitsluitend gebruiken ten behoeve van het bemiddelingsproces, onverminderd eventuele gerechtelijke procedures. Bij wijze van uitzondering kan de bemiddelaar informatie openbaar maken wanneer openbaarmaking noodzakelijk lijkt om een dreigend risico van ernstige schade aan de lichamelijke of geestelijke integriteit van een persoon te voorkomen.

(12) De ECB streeft ernaar arbeidsomstandigheden te waarborgen die de gezondheid en veiligheid van haar personeel beschermen en hun waardigheid op het werk eerbiedigen door de verlening van ondersteunende adviesdiensten. ECB-personeel kan een beroep doen op een sociaal raadgever met betrekking tot alle kwesties, waaronder emotionele, persoonlijke en werkgerelateerde kwesties. De sociaal raadgever mag geen toegang hebben tot het persoonsdossier van een ECB-personeelslid, tenzij dat personeelslid daartoe uitdrukkelijk toestemming heeft verleend. Informatie die een persoon heeft ontvangen of verklaringen die hij aan de sociaal raadgever heeft afgelegd, mogen niet openbaar worden gemaakt, tenzij deze persoon daartoe uitdrukkelijk toestemming heeft verleend of daartoe wettelijk is verplicht.

(13) In het kader van haar interne werking verwerkt de ECB verschillende categorieën gegevens die betrekking kunnen hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. De bijlagen bij dit besluit bevatten niet-uitputtende lijsten van die categorieën persoonsgegevens die door de ECB in het kader van haar interne werking worden verwerkt. Persoonsgegevens kunnen ook deel uitmaken van een beoordeling, met inbegrip van een door het verantwoordelijke bedrijfsonderdeel opgestelde beoordeling met betrekking tot de onderzochte kwestie — waaronder bijvoorbeeld een beoordeling door DG/HR, DG/L, D/IA —, of het oordeel van een tuchtcommissie of een onderzoekspanel over een schending van de professionele verplichting.

(14) In het kader van de overwegingen 4 tot en met 13 is het passend te specificeren op welke gronden de ECB de rechten van betrokkenen kan beperken.

(15) Het doel van de ECB bij de uitoefening van haar taken is het nastreven van belangrijke doelstellingen van algemeen openbaar belang van de Unie. Dientengevolge moet de uitoefening van dergelijke taken worden gewaarborgd zoals bepaald in Verordening (EU) 2018/1725, met name artikel 25, lid 1, punten b), c), d), f), g) en h).

(16) Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moeten de beperking van de toepassing van de artikelen 14 tot en met 22, 35 en 36 en, voor zover de bepalingen ervan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, artikel 4 van die verordening worden vastgelegd in op basis van de Verdragen vastgestelde interne voorschriften of rechtshandelingen. Dienovereenkomstig dient de ECB de regels vast te stellen op grond waarvan zij de rechten van betrokkenen bij de uitoefening van haar toezichttaken kan beperken.

(17) De ECB moet rechtvaardigen waarom dergelijke beperkingen van de rechten van betrokkenen in een democratische samenleving strikt noodzakelijk en evenredig zijn om de bij de uitoefening van haar openbaar gezag nagestreefde doelstellingen en de daaraan verbonden taken te waarborgen, en hoe de ECB de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigt en een dergelijke beperking oplegt.

(18) Binnen dit kader is de ECB verplicht om de grondrechten van betrokkenen zoveel mogelijk te eerbiedigen, met name die welke betrekking hebben op het recht op informatieverstrekking, inzage en rectificatie, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie als bedoeld in Verordening (EU) 2018/1725.

(19) De ECB kan evenwel worden verplicht de aan betrokkenen verstrekte informatie en de rechten van andere betrokkenen ter bescherming van de vervulling van haar toezichttaken, met name haar eigen onderzoeken en procedures, de onderzoeken en procedures van andere overheidsinstanties en de fundamentele rechten en vrijheden van andere personen die verband houden met haar onderzoeken of andere procedures, te beperken.

(20) De ECB dient een reeds toegepaste beperking op te heffen voor zover deze niet langer nodig is.

(21) De functionaris voor gegevensbescherming moet de toepassing van de beperkingen evalueren om ervoor te zorgen dat dit besluit en Verordening (EU) 2018/1725 worden nageleefd.

(22) Hoewel dit besluit de regels vaststelt op grond waarvan de ECB de rechten van betrokkenen kan beperken wanneer de ECB persoonsgegevens verwerkt in verband met haar interne werking, heeft de directie een afzonderlijk besluit vastgesteld tot vaststelling van interne regels betreffende de beperking van rechten bij de uitoefening van haar toezichthoudende taken.

(23) De ECB kan een uitzondering toepassen overeenkomstig Verordening (EU) 2018/1725, die de noodzaak om een beperking als niet-noodzakelijk te beschouwen overbodig maakt, in het bijzonder de in de artikel 15, lid 4, artikel 16, lid 5, artikel 19, lid 3, en artikel 35, lid 3, van die verordening opgenomen beperkingen.

(24) Afwijkingen van de rechten van betrokkenen als bedoeld in de artikelen 17, 18, 20, 21, 22 en 23 van Verordening (EU) 2018/1725 met het oog op archivering in het algemeen belang kunnen worden toegestaan in interne voorschriften of rechtshandelingen die de ECB met betrekking tot haar archivering op basis van de Verdragen vaststelt, met inachtneming van de overeenkomstig artikel 25, lid 4, van Verordening (EU) 2018/1725 vereiste voorwaarden en waarborgen.

(25) De Europese Toezichthouder voor gegevensbescherming werd geraadpleegd overeenkomstig artikel 41, lid 2, van Verordening (EG) nr. 2018/1725 en heeft op 12 maart 2021 advies uitgebracht.

(26) Het personeelscomité werd geraadpleegd,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1 Onderwerp en toepassingsgebied

1. Dit besluit stelt de regels vast met betrekking tot de beperking van de rechten van betrokkenen door de ECB bij activiteiten in verband met de verwerkingen van persoonsgegevens, zoals opgenomen in het centraal register, die zij in het kader van haar interne werking uitvoert.

2. De rechten van betrokkenen die kunnen worden beperkt, zijn opgenomen in de volgende artikelen van Verordening (EU) 2018/1725:

a) artikel 14: (transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene);

b) artikel 15 (te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld);

c) artikel 16 (te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen);

d) artikel 17 (recht van inzage van de betrokkene);

e) artikel 18 (recht op rectificatie);

f) artikel 19 (recht op wissing van gegevens (recht om te worden vergeten));

g) artikel 20 (recht op beperking van de verwerking);

h) artikel 21 (kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of beperking van de verwerking);

i) artikel 22 (recht op overdraagbaarheid van gegevens);

j) artikel 35 (mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene);

k) artikel 36 (vertrouwelijkheid van elektronische communicatie);

l) artikel 4 voor zover de bepalingen ervan overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 14 tot en met 22 van Verordening (EU) 2018/1725.

Artikel 2 Definities

Voor de toepassing van dit besluit gelden de volgende definities:

1) verwerking: verwerking als gedefinieerd in artikel 3, punt 3, van Verordening (EU) 2018/1725;

2) persoonsgegevens: persoonsgegevens als gedefinieerd in artikel 3, punt 1, van Verordening (EU) 2018/1725;

3) betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbare natuurlijk persoon wordt beschouwd een natuurlijk persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel, of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

4) centraal register: het publiek beschikbare register van alle bij de ECB uitgevoerde activiteiten op het gebied van de verwerking van persoonsgegevens, dat wordt bijgehouden door de functionaris voor gegevensbescherming en bedoeld in artikel 9 van Besluit (EU) 2020/655 (ECB/2020/28);

5) verwerkingsverantwoordelijke: de ECB, en met name de bevoegde organisatorische eenheid binnen de ECB, die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt en die verantwoordelijk is voor de verwerking;

6) instellingen en organen van de Unie: instellingen en organen van de Unie als gedefinieerd in artikel 3, punt 10, van Verordening (EU) 2018/1725.

Artikel 3 Toepassing van beperkingen

1. Voor de activiteiten in verband met de verwerkingen van persoonsgegevens als bedoeld in artikel 1, lid 1, kan de verwerkingsverantwoordelijke de in artikel 1, lid 2, bedoelde rechten beperken om de in artikel 25, lid 1, van Verordening (EU) 2018/1725 genoemde belangen en doelstellingen te beschermen, indien de uitoefening van die rechten een van de volgende activiteiten in gevaar zou brengen: De categorieën persoonsgegevens ten aanzien waarvan de in lid 1 genoemde beperkingen kunnen worden toegepast, zijn opgenomen in de bijlagen I tot en met XIV van dit besluit.

a) de beoordeling en melding van mogelijke inbreuken op professionele verplichtingen en, voor zover nodig, het daaropvolgende onderzoek en de opvolging daarvan, met inbegrip van schorsing uit de functie, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), f) en/of h), van Verordening (EU) 2018/1725;

b) de informele en/of formele procedures inzake waardigheid op het werk, met inbegrip van de behandeling van zaken die kunnen leiden tot in deel 0.5 van de ECB-personeelsverordeningen en -regelingen genoemde procedure, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), f) en/of h), van Verordening (EU) 2018/1725;

c) de goede uitoefening van de functies van DG/HR uit hoofde van het arbeidsrechtelijke kader bij de ECB met betrekking tot prestatiebeheer, bevorderingsprocedures of de rechtstreekse benoeming van ECB-personeel, selectieprocedures en professionele ontwikkeling, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punt c) en/of punt h), van Verordening (EU) 2018/1725;

d) het onderzoek van door ECB-personeel ingestelde interne beroepsprocedures (onder meer door middel van administratieve toetsings- of klachtenprocedures, bijzondere beroepsprocedures of medische commissies), en de opvolging daarvan, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c) en/of h), van Verordening (EU) 2018/1725;

e) het rapporteren van illegale activiteiten of schendingen van professionele verplichtingen via het klokkenluidersinstrument van de ECB of de beoordeling van verzoeken van het bureau Naleving en Governance (CGO) om klokkenluiders of getuigen te beschermen tegen represailles, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), f) en/of h), van Verordening (EU) 2018/1725;

f) de activiteiten van het CGO uit hoofde van het ethische kader van de ECB, zoals opgenomen in deel 0 van de ECB-personeelsverordeningen en -regelingen en de in deel 1A van de ECB-personeelsverordeningen en -regelingen opgenomen regels voor selectie en benoeming, en het monitoren van de naleving van particuliere financiële activiteiten, met inbegrip van de functies die worden uitgeoefend krachtens artikel 0.4.3.3 van de ECB-personeelsverordeningen en -regelingen benoemde externe dienstverlener en de beoordeling en opvolging van mogelijke inbreuken als gevolg van een dergelijke monitoring door het CGO, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), f) en/of h) van Verordening (EU) 2018/1725;

g) door het directoraat Interne Audit verrichte audits, onderzoeksactiviteiten en interne administratieve onderzoeken, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c) en/of h), van Verordening (EU) 2018/1725;

h) de uitoefening van de taken van de ECB krachtens Besluit (EU) 2016/456 (ECB/2016/3), met name de verplichting van de ECB om enige gegevens inzake onwettige activiteiten te rapporteren, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), g) en/of h), van Verordening (EU) 2018/1725;

i) door de functionaris voor gegevensbescherming verrichte onderzoeken naar verwerkingsactiviteiten bij de ECB krachtens artikel 4, punt b), van Besluit (EU) 2020/655 (ECB/2020/28), waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punt b) en/of punt h), van Verordening (EU) 2018/1725);

j) interne of met externe ondersteuning uitgevoerde onderzoeken met het oog op het waarborgen van de fysieke veiligheid bij de ECB van personen, gebouwen en eigendommen, het verzamelen van inlichtingen over dreigingen en de analyse van veiligheidsincidenten, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), d) en/of h), van Verordening (EU) 2018/1725;

k) gerechtelijke procedures waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), en/of h), van Verordening (EU) 2018/1725;

l) de samenwerking tussen de ECB en de nationale strafrechtelijke onderzoeksinstanties, met name het verstrekken van vertrouwelijke informatie waarover de ECB beschikt met het oog op openbaarmaking aan een nationale strafrechtelijke onderzoeksinstantie op verzoek van deze autoriteit, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), d) en/of h), van Verordening (EU) 2018/1725;

m) de samenwerking tussen de ECB en het EOM uit hoofde van Verordening (EU) 2017/1939, met name de verplichting van de ECB om informatie te verstrekken over strafbare feiten waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten b), c), d) en/of h), van Verordening (EU) 2018/1725;

n) de samenwerking met EU-organen die een toezichts- of auditfunctie uitoefenen waaraan de ECB is onderworpen, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punten c), d), g) en/of h), van Verordening (EU) 2018/1725;

o) de uitoefening van de taken van een bemiddelaar uit hoofde van het interne kader voor geschillenbeslechting bij de ECB, met name het ondersteunen bij het helpen oplossen of voorkomen van een arbeidsgeschil, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punt h), van Verordening (EU) 2018/1725;

p) de verlening van adviesdiensten door de sociaal raadgever ter ondersteuning van ECB-personeel, waarvan de waarborging in overeenstemming is met artikel 25, lid 1, punt h), van Verordening (EU) 2018/1725.

2. De verwerkingsverantwoordelijke mag een beperking alleen toepassen indien hij op basis van een beoordeling per geval tot de conclusie komt dat de beperking:

a) noodzakelijk en evenredig is, rekening houdend met de risico’s voor de rechten en vrijheden van de betrokkene, en

b) de wezenlijke inhoud respecteert van de fundamentele rechten en vrijheden in een democratische samenleving.

3. De verwerkingsverantwoordelijke documenteert zijn beoordeling in een interne beoordelingsnota, waarin de rechtsgrondslag, de redenen voor de beperking, rechten van de betrokkenen die worden beperkt, de getroffen betrokkenen, de noodzaak en evenredigheid van de beperking en de waarschijnlijke duur van de beperking worden vermeld.

4. Een door de verwerkingsverantwoordelijke te nemen besluit om de rechten van een betrokkene krachtens lid 1 te beperken wordt genomen op het niveau van het hoofd of plaatsvervangend hoofd van het betrokken bedrijfsonderdeel op wiens bedrijfsterrein de belangrijkste activiteit in verband met de verwerkingen van persoonsgegevens wordt uitgevoerd.

Artikel 4 Verstrekking van algemene informatie over beperkingen

De verwerkingsverantwoordelijke verstrekt algemene informatie over de mogelijke beperking van de rechten van betrokkenen als volgt:

a) de verwerkingsverantwoordelijke specificeert de rechten die kunnen worden beperkt, de redenen voor de beperking en de mogelijke duur ervan;

b) de verwerkingsverantwoordelijke neemt de in punt a) genoemde informatie op in zijn mededelingen inzake gegevensbescherming, privacyverklaringen en registers van de verwerkingsactiviteiten als bedoeld in artikel 31 van Verordening (EU) 2018/1725.

Artikel 5 Beperking van het recht van inzage door betrokkenen, recht op rectificatie, recht op wissing of beperking van de verwerking

1. Indien de verwerkingsverantwoordelijke het recht op inzage, het recht op rectificatie, het recht op wissing of het recht op de beperking van de verwerking als bedoeld in respectievelijk de artikelen 17 en 18, artikel 19, lid 1, en artikel 20, lid 1, van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, stelt hij de betrokkene binnen de in artikel 11, lid 5, van Besluit (EU) 2020/655 (ECB/2020/28) bedoelde termijn in zijn schriftelijk antwoord op het verzoek in kennis van de toegepaste beperking, de belangrijkste redenen voor de beperking en van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming en beroep in te stellen bij het Hof van Justitie van de Europese Unie.

2. De verwerkingsverantwoordelijke bewaart de in artikel 3, lid 3, bedoelde interne beoordelingsnota en, in voorkomend geval, de documenten met onderliggende feitelijke en juridische elementen en stelt deze op verzoek ter beschikking van de functionaris voor gegevensbescherming en de Europese Toezichthouder voor gegevensbescherming.

3. De verwerkingsverantwoordelijke kan de verstrekking van informatie over de redenen voor de in lid 1 bedoelde beperking uitstellen, achterwege laten of weigeren zolang die verstrekking van informatie het doel van de beperking zou ondermijnen. Zodra de verwerkingsverantwoordelijke vaststelt dat het verstrekken van de informatie het doel van de beperking niet langer ondermijnt, verstrekt de verwerkingsverantwoordelijke die informatie aan de betrokkene.

Artikel 6 Duur van de beperkingen

1. De verwerkingsverantwoordelijke heft een beperking op zodra de omstandigheden die de beperking rechtvaardigden niet langer van toepassing zijn.

2. Indien de verwerkingsverantwoordelijke krachtens lid 1 een beperking opheft, zal de verwerkingsverantwoordelijke onverwijld:

a) voor zover de verwerkingsverantwoordelijke zulks nog niet heeft gedaan, de betrokkene in kennis stellen van de voornaamste redenen waarop de toepassing van een beperking was gebaseerd;

b) de betrokkene in kennis te stellen van het recht om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie van de Europese Unie;

c) de betrokkene het recht te verlenen waarop de opgeheven beperking van toepassing was.

3. De verwerkingsverantwoordelijke beoordeelt elke zes maanden opnieuw of een beperking uit hoofde van dit besluit moet worden gehandhaafd en documenteert de herbeoordeling in een interne beoordelingsnota.

Artikel 7 Waarborging

De ECB past de in bijlage XV opgenomen organisatorische en technische waarborgen toe om misbruik of onrechtmatige toegang of overdracht te voorkomen.

Artikel 8 Beoordeling door de functionaris voor gegevensbescherming

1. Indien de verwerkingsverantwoordelijke de toepassing van de rechten van een betrokkene beperkt, moet hij de functionaris voor gegevensbescherming voortdurend bij de zaak betrekken. In het bijzonder geldt het volgende:

a) de verwerkingsverantwoordelijke raadpleegt onverwijld de functionaris voor gegevensbescherming;

b) op verzoek van de functionaris voor gegevensbescherming verleent de verwerkingsverantwoordelijke de functionaris voor gegevensbescherming toegang tot alle documenten die onderliggende feitelijke en juridische elementen bevatten, met inbegrip van de in artikel 3, lid 3, bedoelde interne beoordelingsnota;

c) de verwerkingsverantwoordelijke legt vast hoe de functionaris voor gegevensbescherming betrokken is geweest, met inbegrip van relevante informatie die werd gedeeld, met name de datum van de eerste raadpleging als bedoeld in punt a);

d) de functionaris voor gegevensbescherming kan de verwerkingsverantwoordelijke verzoeken de beperking te herzien;

e) de verwerkingsverantwoordelijke stelt de functionaris voor gegevensbescherming zonder onnodige vertraging en in elk geval voordat een beperking wordt toegepast, schriftelijk in kennis van het resultaat van de gevraagde beoordeling.

2. De verwerkingsverantwoordelijke stelt de functionaris voor gegevensbescherming ervan in kennis wanneer de beperking opnieuw is beoordeeld overeenkomstig artikel 6, lid 3, of wanneer de beperking is opgeheven.

Artikel 9 Inwerkingtreding

Dit besluit treedt in werking op de twintigste dag volgende op die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Gedaan te Frankfurt am Main, 22 november 2022. De president van de ECB Christine Lagarde

ANNEX

BIJLAGE I Beoordeling en rapportage van mogelijke inbreuken op de professionele verplichtingen en, indien nodig, het vervolgonderzoek en de opvolging daarvan

De in artikel 3, lid 1, punt a), van dit besluit voorziene beperking kan worden toegepast ten aanzien van de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

beroepsgegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

locatiegegevens;

g)

gegevens over geleverde goederen of diensten;

h)

gegevens over externe activiteiten;

i)

gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, genetische gegevens of biometrische gegevens, gegevens over gezondheid of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid;

j)

alle andere gegevens met betrekking tot de beoordeling en melding van mogelijke inbreuken op de beroepstaken en, in voorkomend geval, het daaropvolgende onderzoek en de opvolging daarvan.

BIJLAGE II Informele en/of formele procedures inzake waardigheid op het werk, met inbegrip van de behandeling van zaken die kunnen leiden tot een procedure zoals opgenomen in deel 0.5 van de personeelsverordeningen en -regelingen van de ECB

De in artikel 3, lid 1, punt b), van dit besluit voorziene beperking kan worden toegepast ten aanzien van de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

locatiegegevens;

g)

gegevens over de geleverde goederen of diensten;

h)

i)

alle andere gegevens die betrekking hebben op informele en/of formele procedures inzake waardigheid op het werk, met inbegrip van de behandeling van zaken die kunnen leiden tot een procedure zoals opgenomen in deel 0.5 van de ECB-personeelsverordeningen en -regelingen.

BIJLAGE III De uitoefening van de functies van DG/HR in het arbeidsrechtelijke kader van de ECB

De in artikel 3, lid 1, punt c), van dit besluit voorziene beperking kan worden toegepast ten aanzien van de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

locatiegegevens;

g)

gegevens over geleverde goederen of diensten;

h)

i)

alle andere gegevens die zijn opgenomen in of betrekking hebben op de individuele zaaksbehandeling, met name die welke kunnen leiden tot een besluit dat nadelig is voor het ECB-personeel en die zijn opgenomen in of betrekking hebben op het onderzoek van interne beroepsprocedures die door personeelsleden van de ECB zijn ingesteld en de opvolging daarvan.

j)

alle andere gegevens met betrekking tot selectieprocedures.

BIJLAGE IV Het onderzoek van interne beroepen en de opvolging daarvan

De in artikel 3, lid 1, punt d), van dit besluit voorziene beperking kan worden toegepast ten aanzien van de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

locatiegegevens;

g)

gegevens over geleverde goederen of diensten;

h)

i)

BIJLAGE V Het melden van illegale activiteiten of inbreuken op professionele verplichtingen die via enigerlei kanaal zijn ingediend, met inbegrip van het klokkenluidersinstrument van de ECB of de beoordeling getuigen door het bureau Naleving en Governance van verzoeken om bescherming van klokkenluiders

De in artikel 3, lid 1, punt e), van dit besluit genoemde beperking kan worden toegepast ten aanzien van de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

locatiegegevens;

g)

gegevens over de geleverde goederen of diensten;

h)

gegevens over externe activiteiten;

i)

j)

alle andere gegevens met betrekking tot een vermeende onwettige activiteit of vermeende schending van professionele verplichtingen of een verzoek om bescherming van klokkenluiders of getuigen.

BIJLAGE VI Activiteiten van het CGO in het kader van de ECB-personeelsverordeningen en -regelingen

De in artikel 3, lid 1, punt f), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

h)

alle andere gegevens met betrekking tot activiteiten die zijn gerapporteerd aan of onderzocht door het CGO.

BIJLAGE VII Door het directoraat Interne audit uitgevoerde audits en onderzoeksactiviteiten of interne administratieve onderzoeken

De in artikel 3, lid 1, punt g), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

locatiegegevens;

h)

gegevens over geleverde goederen of diensten;

i)

sociale en gedragsgegevens en andere soorten gegevens die specifiek zijn voor de verwerking;

j)

informatie over administratieve procedures of andere onderzoeken;

k)

elektronische verkeersgegevens;

l)

videobewakingsgegevens;

m)

geluidsopnamen;

n)

o)

gegevens over strafprocedures, sancties of andere administratieve boetes;

p)

alle andere gegevens met betrekking tot door het directoraat Interne Audit uitgevoerde audits en eventuele onderzoeksactiviteiten of interne administratieve onderzoeken.

BIJLAGE VIII De uitoefening van de functies van de ECB krachtens Besluit (EU) 2016/456 (ECB/2016/3)

De in artikel 3, lid 1, punt h), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

locatiegegevens;

h)

gegevens over geleverde goederen of diensten;

i)

elektronische verkeersgegevens;

j)

videobewakingsgegevens;

k)

geluidsopnamen;

l)

m)

alle andere gegevens met betrekking tot de uitoefening van de functies van de ECB krachtens Besluit (EU) 2016/456 (ECB/2016/3).

BIJLAGE IX Onderzoeken die krachtens artikel 4, punt b), van Besluit (EU) 2020/655 (ECB/2020/28) door de functionaris voor gegevensbescherming worden verricht

De in artikel 3, lid 1, punt i), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

beroepsgegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

locatie van de gegevens;

h)

gegevens over de geleverde goederen of diensten;

i)

elektronische verkeersgegevens;

j)

k)

alle andere gegevens met betrekking tot een door de functionaris voor gegevensbescherming krachtens artikel 4, punt b), van Besluit (EU) 2020/655 (ECB/2020/28) uitgevoerd onderzoek.

BIJLAGE X Onderzoeken met het oog op het waarborgen van de fysieke veiligheid bij de ECB van personen, gebouwen en eigendommen en voor het verzamelen van inlichtingen over dreigingen en analyse van veiligheidsincidenten

De in artikel 3, lid 1, punt j), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

locatiegegevens;

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

elektronische verkeersgegevens;

g)

videobewakingsgegevens;

h)

geluidsopnamen;

i)

j)

gegevens over lopende strafzaken of een strafblad;

k)

alle andere gegevens met betrekking tot onderzoeken met het oog op het waarborgen van de fysieke beveiliging bij de ECB van personen, gebouwen en eigendommen, met betrekking tot inlichtingen over dreigingen of de analyse van veiligheidsincidenten.

BIJLAGE XI Gerechtelijke procedures

De in artikel 3, lid 1, punt k), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

beroepsgegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

locatie van de gegevens;

h)

elektronische verkeersgegevens;

i)

j)

alle andere gegevens met betrekking tot gerechtelijke procedures.

BIJLAGE XII De samenwerking tussen de ECB en nationale met strafrechtelijke vervolging belaste autoriteiten, het EOM en EU-organen die een toezichts- of auditfunctie uitoefenen waaraan de ECB is onderworpen

De in artikel 3, lid 1, punten l), m) en n), van dit besluit voorziene beperking kan worden toegepast op alle in de bijlagen I tot en met XI vermelde categorieën persoonsgegevens, alsmede op de in de desbetreffende register van verwerkingsactiviteiten vermelde categorieën gegevens, met name de volgende categorieën persoonsgegevens:

a)

identificatiegegevens;

b)

contactgegevens;

c)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

d)

financiële details (bv. informatie over loon, toelagen of privétransacties);

e)

gegevens over gezin, levensstijl en sociale omstandigheden;

f)

gegevens over externe activiteiten;

g)

locatiegegevens;

h)

gegevens over de geleverde goederen of diensten;

i)

videobewakingsgegevens;

j)

elektronische verkeersgegevens;

k)

geluidsopnamen;

l)

m)

informatie over administratieve procedures of andere onderzoeken;

n)

gegevens over strafprocedures, sancties of andere administratieve boetes;

o)

alle andere gegevens met betrekking tot de samenwerking tussen de ECB en de met strafrechtelijke vervolging belaste autoriteiten, het EOM en EU-organen die een toezichts- of auditfunctie uitoefenen waaraan de ECB is onderworpen.

BIJLAGE XIII De uitoefening van de taken van de bemiddelaar

De in artikel 3, lid 1, punt o), van dit besluit genoemde kan worden toegepast op de gegevenscategorieën die in de desbetreffende verwerkingsregisters worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

contactgegevens;

b)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

c)

financiële details (bv. informatie over loon, toelagen of privétransacties);

d)

gegevens over gezin, levensstijl en sociale omstandigheden;

e)

sociale en gedragsgegevens en andere soorten gegevens die specifiek zijn voor de verwerking;

f)

informatie over administratieve procedures of andere reglementaire onderzoeken;

g)

h)

alle andere gegevens met betrekking tot de uitvoering van de taken van de bemiddelaar.

BIJLAGE XIV De verlening van adviesdiensten door de sociaal raadgever

De in artikel 3, lid 1, punt p), van dit besluit voorziene beperking kan worden toegepast op de gegevenscategorieën die in de desbetreffende registers van verwerkingsactiviteiten worden vermeld, met name de volgende categorieën persoonsgegevens:

a)

contactgegevens;

b)

professionele gegevens, met inbegrip van gegevens over onderwijs, opleiding en werkgelegenheid;

c)

financiële details (bv. informatie over loon, toelagen of privétransacties);

d)

gegevens over gezin, levensstijl en sociale omstandigheden;

e)

sociale en gedragsgegevens en andere soorten gegevens die specifiek zijn voor de verwerking;

f)

informatie over administratieve procedures of andere reglementaire onderzoeken;

g)

h)

alle andere gegevens met betrekking tot de verlening van adviesdiensten door de sociaal raadgever.

BIJLAGE XV

Organisatorische en technische waarborgen bij de ECB om misbruik of onrechtmatige verwerking van persoonsgegevens te voorkomen omvatten:

met betrekking tot personen:

i)

alle personen die toegang hebben tot niet-openbare ECB-informatie en die verantwoordelijk zijn voor het kennen en toepassen van het beleid en de regels van de ECB inzake het beheer en de vertrouwelijkheid van informatie;

ii)

een veiligheidsmachtigingsproces dat waarborgt dat alleen gescreende en gemachtigde personen toegang hebben tot de gebouwen van de ECB en haar niet-openbare informatie;

iii)

maatregelen ter vergroting van het bewustzijn op het gebied van IT-, informatie- en fysieke veiligheid en opleidingen die regelmatig worden georganiseerd voor ECB-personeel en externe dienstverleners;

iv)

ECB-personeel dat onderworpen is aan strikte regels inzake beroepsgeheim die zijn neergelegd in de arbeidsvoorwaarden voor het ECB-personeel en de ECB-personeelsverordeningen en-regelingen, waarvan de schending aanleiding geeft tot disciplinaire sancties;

v)

regels en verplichtingen betreffende de toegang van externe dienstverleners of contractanten tot niet-openbare ECB-informatie, die zijn vastgelegd in contractuele regelingen;

vi)

toegangscontroles, met inbegrip van beveiligingszonering, die worden toegepast om ervoor te zorgen dat de toegang van personen tot niet-openbare informatie van de ECB wordt toegestaan en beperkt op basis van zakelijke behoeften en beveiligingsvereisten;

met betrekking tot processen:

i)

er zijn processen ingevoerd om te zorgen voor een gecontroleerde tenuitvoerlegging, exploitatie en onderhoud van IT-toepassingen ter ondersteuning van de werkzaamheden van de ECB;

ii)

gebruikmaking van IT-toepassingen voor de werkzaamheden van de ECB die voldoen aan de beveiligingsnormen van de ECB;

iii)

beschikken over een uitgebreid programma voor fysieke beveiliging dat voortdurend rekening houdt met veiligheidsdreigingen en fysieke beveiligingsmaatregelen omvat om een adequaat beschermingsniveau te waarborgen;

met betrekking tot technologie:

i)

alle elektronische gegevens die worden opgeslagen in IT-applicaties die voldoen aan de beveiligingsnormen van de ECB en aldus worden beschermd tegen ongeoorloofde toegang of wijziging;

ii)

IT-toepassingen worden uitgevoerd, geëxploiteerd en onderhouden op een beveiligingsniveau dat in verhouding staat tot de behoeften van de IT-applicaties op het gebied van vertrouwelijkheid, integriteit en beschikbaarheid, op basis van bedrijfseffectenanalyses;

iii)

het beveiligingsniveau van IT-applicaties dat regelmatig wordt gevalideerd door middel van technische en niet-technische beveiligingsbeoordelingen;

iv)

toegang tot niet-openbare informatie van de ECB wordt verleend overeenkomstig het need-to-know-beginsel, en bevoorrechte toegang wordt strikt beperkt en streng gecontroleerd;

v)

er worden controles uitgevoerd om feitelijke en potentiële inbreuken op de beveiliging op te sporen en op te volgen.

Versions

2022-11-22