1.   La présente décision établit les règles générales d’application du règlement (UE) 2018/1725 pour ce qui concerne la BCE. Elle précise notamment les règles relatives à la désignation et au rôle du délégué à la protection des données de la BCE, y compris ses tâches, ses fonctions et ses compétences.

2.   La présente décision détaille également les rôles, tâches et fonctions des responsables du traitement des données ainsi que ceux du coordinateur de la protection des données, et met en œuvre les règles en vertu desquelles les personnes concernées peuvent exercer leurs droits.

1.   Le directoire:

2.   Le directoire veille à ce que le délégué à la protection des données puisse s’acquitter des missions et exercer les fonctions visées à l’article 45 du règlement (UE) 2018/1725 en toute indépendance, sans recevoir aucune instruction en ce qui concerne l’exercice de ses missions. Sans préjudice de cette indépendance:

3.   Le directoire peut désigner un délégué adjoint à la protection des données, auquel les paragraphes 1 et 2 sont applicables. Le délégué adjoint assiste le délégué dans l’accomplissement de ses tâches et l’exercice de ses fonctions, et le remplace en cas d’absence.

4.   Tout membre du personnel de la BCE qui assiste le délégué à la protection des données concernant des questions de protection des données agit uniquement sur instruction dudit délégué et est soumis au secret professionnel ou à une obligation de confidentialité conformément à l’article 44, paragraphe 5, du règlement (UE) 2018/1725, lu conjointement avec l’article 37 des statuts du Système européen de banques centrales et de la Banque centrale européenne.

5.   En vertu de l’article 43, paragraphe 2, du règlement (UE) 2018/1725, le délégué à la protection des données peut être autorisé à exercer aussi les missions visées à l’article 45 du règlement (UE) 2018/1725 en ce qui concerne le CERS et à la demande de celui-ci.

1.   Toute demande d’examen en application de l’article 4, point b), doit être adressée par écrit au délégué à la protection des données.

2.   Le délégué à la protection des données envoie un accusé de réception au demandeur dans un délai de sept jours ouvrés à compter de la réception de la demande visée au paragraphe 1.

3.   Le délégué à la protection des données peut procéder sur place à l’examen de l’objet de la demande et demander une déclaration écrite à un responsable du traitement. Celui-ci répond au délégué de la protection des données dans un délai de vingt jours ouvrés à compter de la réception de la demande de déclaration. Le délégué peut, à tout moment, demander des informations supplémentaires ou solliciter l’aide de tout service de la BCE. Le service concerné fournit les informations supplémentaires demandées et apporte l’aide requise dans un délai de vingt jours ouvrés à compter de la demande du délégué.

4.   Le délégué à la protection des données examine les questions et les faits relatifs à la procédure d’examen de manière impartiale et en respectant les droits des personnes concernées. Si cela est jugé opportun et sous réserve du paragraphe 5, le délégué à la protection des données informe toutes les parties concernées de la procédure d’examen.

5.   Le délégué à la protection des données veille à ce que la demande demeure confidentielle et soit uniquement divulguée si cela est nécessaire à la procédure d’examen, sauf si la personne concernée accepte que sa demande ne demeure pas confidentielle.

6.   Le délégué à la protection des données rend compte au demandeur au plus tard trois mois civils à compter de la réception de la demande.

1.   Un responsable du traitement veille à ce que toutes les opérations de traitement de données à caractère personnel qui sont effectuées dans son domaine de responsabilité soient conformes aux dispositions du règlement (UE) 2018/1725 ainsi qu’à toute autre disposition de droit de l’Union, relative à la protection des données, applicable à la BCE.

2.   Un responsable du traitement veille à ce que le délégué à la protection des données soit informé dans les meilleurs délais:

3.   Un responsable du traitement est notamment tenu de:

4.   Lorsqu’un responsable du traitement aide le délégué à la protection des données et le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions, il leur fournit des informations complètes, leur donne accès aux données à caractère personnel et répond à leurs questions dans un délai de vingt jours ouvrés à compter de la réception de la demande.

1.   Les coordinateurs de la protection des données aident les responsables du traitement à s’acquitter de leurs obligations, soit à la demande des responsables du traitement, soit à leur propre initiative. Les coordinateurs de la protection des données se concertent avec les responsables du traitement, qui leur fournissent toutes les informations nécessaires.

2.   Les coordinateurs de la protection des données aident le délégué à la protection des données:

3.   Un coordinateur de la protection des données est, en général, un spécialiste de la gestion de l’information et possède l’expertise nécessaire et/ou a reçu la formation appropriée.

1.   Les responsables du traitement des données communiquent leurs registres des activités de traitement au délégué à la protection des données, qui conserve ces registres dans un registre central.

2.   Le registre central représente un recueil de toutes les activités de traitement des données à caractère personnel effectuées à la BCE. Il constitue une source d’informations pour les personnes concernées et facilite l’exercice de leurs droits conformément aux articles 17 à 24 du règlement (UE) 2018/1725. Le registre central est mis à la disposition du public. Il comporte au moins les informations énumérées à l’article 31, paragraphe 1, points a) à g), du règlement (UE) 2018/1725.

1.   Les obligations incombant à chaque responsable conjoint en matière de protection des données sont définies conformément à l’article 28 du règlement (UE) 2018/1725.

2.   Dans le cas où la BCE remplit la fonction de responsable conjoint avec un ou plusieurs autres responsables de traitement, les responsabilités de chacun concernant le respect des obligations de protection des données sont définies par un accord entre eux, sauf si, et dans la mesure où, ces responsabilités sont définies par le droit de l’Union ou par le droit de l’État membre dont relèvent les responsables conjoints du traitement.

1.   Les personnes concernées peuvent s’adresser au responsable du traitement concerné afin d’exercer les droits que leur confèrent les articles 17 à 24 du règlement (UE) 2018/1725.

2.   Les droits des personnes concernées ne peuvent être exercés que par la personne concernée ou par leur représentant dûment mandaté. L’exercice de tous ces droits est gratuit pour ces personnes.

3.   Les demandes visant à l’exercice des droits des personnes concernées sont adressées par écrit au responsable du traitement concerné ou, lorsque c’est approprié, par voie électronique. Lorsqu’il reçoit une demande d’une personne concernée, le responsable du traitement concerné envoie un accusé de réception à celle-ci dans un délai de cinq jours ouvrés, lui fournit les coordonnées du délégué à la protection des données et l’informe de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ainsi que de former un recours juridictionnel.

4.   Si le responsable du traitement concerné a des doutes raisonnables quant à l’identité de la personne concernée ou de son représentant dûment mandaté, il peut demander que lui soient fournies des informations supplémentaires, nécessaires pour confirmer l’identité de la personne concernée ou de son représentant. Lorsque la personne concernée est représentée par un représentant dûment mandaté, le responsable du traitement concerné vérifie également le mandat en question. Le responsable du traitement concerné peut demander des informations supplémentaires à la personne concernée afin de clarifier la demande de cette dernière et d’y répondre de manière efficace.

5.   Conformément à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725, le responsable du traitement concerné fournit à la personne concernée des informations sur toute mesure prise à la suite d’une demande, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, au vu de la complexité et du nombre de demandes reçues par le responsable du traitement concerné de la part de personnes concernées. Le responsable du traitement concerné informe la personne concernée de toute prolongation dans un délai d’un mois à compter de la réception de la demande, en communiquant les motifs du report.

6.   Le responsable du traitement concerné répond à la personne concernée par écrit lorsque c’est approprié. Si la personne concernée a présenté sa demande par voie électronique, le responsable du traitement concerné fournit également les informations demandées par voie électronique.

7.   Les personnes concernées peuvent à tout moment s’adresser au délégué à la protection des données, notamment si:

Le délégué à la protection des données conseille le responsable du traitement des données concerné sur les mesures appropriées à prendre.

8.   Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement concerné peut refuser, après avoir consulté le délégué à la protection des données, de donner suite à la demande, en vertu de l’article 14, paragraphe 5, du règlement (UE) 2018/1725, et en informe la personne concernée.