1.   A presente decisão estabelece as disposições gerais de execução do Regulamento (UE) 2018/1725 no que respeita ao BCE. Define, nomeadamente, as regras relativas à nomeação e ao papel do encarregado da proteção de dados do BCE (EPD), incluindo as atribuições, as funções e os poderes do EPD.

2.   A presente decisão também especifica o papel, as atribuições e os deveres dos responsáveis pelo tratamento de dados e do coordenador da proteção de dados, e dá aplicação às disposições que permitem aos titulares dos dados exercer os seus direitos.

1.   Compete à Comissão Executiva:

2.   A Comissão Executiva deve certificar-se de que o EPD possa desempenhar as atribuições e as funções referidas no artigo 45.o do Regulamento (UE) 2018/1725 de forma independente e sem receber quaisquer instruções sobre o modo como as desempenha. Sem prejuízo da referida independência:

3.   A Comissão Executiva pode nomear um EPD adjunto, sendo-lhe aplicável o disposto nos n.os 1 e 2. O EPD adjunto coadjuva o EPD no exercício das suas atribuições e funções e substitui-o na sua ausência.

4.   Qualquer membro do pessoal do BCE que preste apoio ao EPD em matéria de proteção de dados atua exclusivamente com base nas instruções do EPD e está sujeito ao sigilo profissional e à confidencialidade, nos termos do artigo 44.o, n.o 5, do Regulamento (UE) 2018/1725 conjugado com o artigo 37.o dos Estatutos do SEBC.

5.   Nos termos do artigo 43.o, n.o 2, do Regulamento (UE) 2018/1725, o EPD pode ser autorizado a desempenhar, a pedido do CERS, também, em relação ao CERS, as atribuições previstas no artigo 45.o do Regulamento (UE) 2018/1725.

1.   Os pedidos de investigação ao abrigo da alínea b) do artigo 4.o devem ser apresentados por escrito ao EPD.

2.   O EPD deve enviar um aviso de receção ao requerente no prazo de sete dias úteis a contar da data de receção do pedido referido no n.o 1.

3.   O EPD pode investigar no local a questão que é objeto do pedido e solicitar ao responsável pelo tratamento uma declaração por escrito. O responsável pelo tratamento pertinente deve responder ao EPD no prazo de 20 dias úteis a contar da data de receção do seu pedido. O EPD pode, a todo o tempo, solicitar informações complementares ou assistência a qualquer área de atividade do BCE. A área de atividade deve prestar as referidas informações complementares ou assistência no prazo de 20 dias úteis a contar da data de receção do pedido do EPD.

4.   O EPD examina as questões e os factos relativos à investigação com imparcialidade e com o devido respeito pelos direitos dos titulares dos dados. Se for considerado adequado e sem prejuízo do n.o 5, o EPD informa todas as outras partes interessadas sobre a investigação.

5.   O EPD deve assegurar que o pedido seja mantido confidencial e só seja divulgado na medida do necessário para efeitos da investigação, a menos que o titular dos dados em causa dê o seu consentimento para que o pedido deixe de ser confidencial.

6.   O EPD informa o requerente sobre os resultados da investigação no prazo de três meses a contar da data de receção do pedido.

1.   O responsável pelo tratamento assegura que todas as operações de tratamento que envolvam dados pessoais realizadas sob a sua responsabilidade estão conformes com o disposto no Regulamento (UE) 2018/1725 e com quaisquer outras disposições da União em matéria de proteção de dados aplicáveis ao BCE.

2.   O responsável pelo tratamento deve garantir que o EPD seja informado, sem demora injustificada, sobre:

3.   O responsável pelo tratamento deve, em especial:

4.   Ao prestar assistência ao EPD e à AEPD no exercício das respetivas funções, o responsável pelo tratamento deve fornecer-lhes informações completas, facultar-lhes o acesso a dados pessoais e responder a questões no prazo de 20 dias úteis a contar da data de receção do pedido.

1.   Os coordenadores da proteção de dados prestam assistência aos responsáveis pelo tratamento de dados no cumprimento das suas obrigações, quer a pedido destes últimos, quer por iniciativa própria. Os coordenadores da proteção de dados concertam com os responsáveis pelo tratamento de dados, devendo estes últimos fornecer-lhes todas as informações necessárias.

2.   Os coordenadores da proteção de dados ajudam o EPD a:

3.   O coordenador da proteção de dados é, em princípio, um especialista em gestão da informação ou possui os conhecimentos especializados e/ou a formação pertinentes.

1.   Os responsáveis pelo tratamento submetem os respetivos registos de atividades de tratamento ao EPD, que os conserva num registo central.

2.   O registo central serve de repositório de todas as atividades de tratamento de dados pessoais realizadas no BCE. O registo central constitui uma fonte de informação para os titulares dos dados e facilita o exercício dos seus direitos nos termos dos artigos 17.o a 24.o do Regulamento (UE) 2018/1725. O registo central deve ser acessível ao público. O registo central deve conter, pelo menos, as informações referidas no artigo 31.o, n.o 1, alíneas a) a g), do Regulamento (UE) 2018/1725.

1.   As respetivas obrigações em matéria de proteção de dados de qualquer responsável conjunto pelo tratamento são estabelecidas em conformidade com o artigo 28.o do Regulamento (UE) 2018/1725.

2.   No caso de o BCE agir como um responsável conjunto pelo tratamento juntamente com um ou mais responsáveis pelo tratamento, os responsáveis conjuntos pelo tratamento determinam por acordo entre si as responsabilidades pelo cumprimento das obrigações de proteção de dados, a não ser e na medida em que as referidas responsabilidades sejam determinadas pelo direito da União ou pelo direito do Estado-Membro a que estão sujeitos.

1.   Os titulares dos dados podem contactar o responsável pelo tratamento pertinente a fim de exercerem os respetivos direitos nos termos dos artigos 17.o a 24.o do Regulamento (UE) 2018/1725.

2.   Os direitos do titular dos dados só podem ser exercidos pelo titular dos dados ou por um representante devidamente autorizado. Estes podem exercer gratuitamente qualquer um dos referidos direitos.

3.   Os pedidos de exercício dos direitos dos titulares dos dados são apresentados por escrito ou, caso aplicável, por via eletrónica ao responsável pelo tratamento pertinente. Após a receção do pedido de um titular dos dados, o responsável pelo tratamento pertinente envia um aviso de receção ao titular dos dados no prazo de cinco dias úteis, facultando-lhe os dados de contacto do EPD e informando-o da possibilidade de apresentação de uma reclamação à AEPD e de interposição de recurso judicial.

4.   Se o responsável pelo tratamento pertinente tiver dúvidas razoáveis quanto à identidade do titular dos dados, ou do seu representante autorizado, pode solicitar a prestação de informações adicionais necessárias para identificar o titular dos dados ou o seu representante autorizado. Se o titular dos dados for representado por um representante autorizado, o responsável pelo tratamento pertinente também deve verificar a competente autorização. O responsável pelo tratamento pertinente pode solicitar informações adicionais ao titular dos dados para clarificar o seu pedido e abordá-lo com eficácia.

5.   Nos termos do artigo 14.o, n.os 3 e 4, do Regulamento (UE) 2018/1725, o responsável pelo tratamento pertinente deve facultar ao titular dos dados, sem demora injustificada e, o mais tardar, no prazo de um mês a contar da data de receção do pedido, informações sobre qualquer medida tomada em relação a um pedido. Caso necessário, o referido prazo pode ser prorrogado por outros dois meses, tendo em conta a complexidade e o número de pedidos dos titulares dos dados recebidos pelo responsável pelo tratamento pertinente. O responsável pelo tratamento pertinente deve informar o titular dos dados de qualquer prorrogação no prazo de um mês a contar da data de receção do pedido e indicar os motivos do atraso.

6.   O responsável pelo tratamento pertinente deve responder por escrito ao pedido do titular dos dados, caso adequado, e, se o pedido tiver sido apresentado por via eletrónica, deve fornecer também as informações solicitadas por via eletrónica.

7.   O titular dos dados pode em qualquer momento contactar o EPD, nomeadamente se:

O EPD aconselha o responsável pelo tratamento pertinente sobre as medidas adequadas.

8.   Se os pedidos do titular dos dados forem manifestamente infundados ou excessivos, nomeadamente devido ao caráter reiterado dos mesmos, o responsável pelo tratamento pertinente pode, após consulta do EPD, recusar-se a dar seguimento ao pedido nos termos do artigo 14.o, n.o 5, do Regulamento (UE) 2018/1725 e informar o titular dos dados desse facto.