(1)   Prezenta decizie stabilește normele generale de punere în aplicare a Regulamentului (UE) 2018/1725 în ceea ce privește Banca Centrală Europeană (BCE). În special, aceasta prevede normele referitoare la numirea și rolul responsabilului cu protecția datelor al BCE (RPD), inclusiv sarcinile, atribuțiile și competențele RPD.

(2)   Prezenta decizie stabilește, de asemenea, rolurile, sarcinile și îndatoririle operatorilor și ale coordonatorului de protecția datelor și pune în aplicare normele în temeiul cărora persoanele vizate își pot exercita drepturile.

(1)   Comitetul executiv:

(2)   Comitetul executiv se asigură că RPD este capabil să îndeplinească sarcinile și îndatoririle prevăzute la articolul 45 din Regulamentul (UE) 2018/1725 în mod independent, fără a primi instrucțiuni privind modul de exercitare a sarcinilor sale. Fără a aduce atingere acestei independențe:

(3)   Comitetul executiv poate desemna un RPD adjunct în privința căruia se vor aplica alineatele (1) și (2). RPD adjunct sprijină RPD în îndeplinirea sarcinilor și a îndatoririlor sale și îi va ține locul în cazul absenței acestuia.

(4)   Orice membru al personalului BCE care acordă sprijin RPD în ceea ce privește aspectele legate de protecția datelor acționează exclusiv în conformitate cu instrucțiunile RPD și este obligat să respecte secretul profesional și confidențialitatea, în conformitate cu articolul 44 alineatul (5) din Regulamentul (UE) 2018/1725 coroborat cu articolul 37 din Statutul SEBC.

(5)   În conformitate cu articolul 43 alineatul (2) din Regulamentul (UE) 2018/1725, la cererea CERS, RPD poate fi autorizat să îndeplinească și în legătură cu CERS sarcinile prevăzute la articolul 45 din Regulamentul (UE) 2018/1725.

(1)   Orice solicitare de investigare în conformitate cu articolul 4 litera (b) se adresează, în scris, RPD.

(2)   În termen de șapte zile lucrătoare de la primirea solicitării menționate la alineatul (1), RPD trimite o confirmare de primire solicitantului.

(3)   RPD poate investiga problema care face obiectul solicitării la fața locului și poate solicita operatorului o declarație scrisă. Operatorul competent transmite răspunsul său către RPD în termen de 20 de zile lucrătoare de la primirea solicitării din partea RPD. RPD poate solicita informații suplimentare sau asistență din partea oricărei direcții generale sau direcții a BCE în orice moment. Direcțiile generale sau direcțiile BCE în cauză acordă asistență sau transmit informațiile suplimentare solicitate în termen de 20 de zile lucrătoare de la solicitarea RPD.

(4)   RPD tratează aspectele și faptele legate de investigație în mod imparțial și cu respectarea drepturilor persoanelor vizate. În cazul în care se consideră adecvat și sub rezerva alineatului (5), RPD informează toate celelalte părți în cauză cu privire la investigație.

(5)   RPD se asigură că solicitarea rămâne confidențială și este comunicată numai în măsura în care este necesar pentru scopurile investigației, cu excepția cazului în care persoana vizată își dă consimțământul ca solicitarea să nu rămână confidențială.

(6)   RPD transmite solicitantului un raport, în termen de trei luni calendaristice de la primirea solicitării.

(1)   Operatorul se asigură că toate operațiunile de prelucrare care implică date cu caracter personal și care sunt efectuate în domeniul său de responsabilitate respectă dispozițiile Regulamentului (UE) 2018/1725 și orice alte dispoziții ale Uniunii privind protecția datelor aplicabile BCE.

(2)   Operatorul se asigură că RPD este informat, fără întârzieri nejustificate, cu privire la următoarele aspecte:

(3)   Operatorul, în special:

(4)   Atunci când asistă RPD și AEPD în exercitarea îndatoririlor acestora, operatorul le furnizează toate informațiile, le dă accesul la datele cu caracter personal și răspunde întrebărilor acestora în termen de 20 de zile lucrătoare de la primirea solicitării.

(1)   Coordonatorii de protecția datelor asistă operatorii în îndeplinirea obligațiilor lor fie la solicitarea operatorilor, fie din proprie inițiativă. Coordonatorii de protecția datelor iau legătura cu operatorii, care le furnizează toate informațiile necesare.

(2)   Coordonatorii de protecția datelor asistă RPD:

(3)   Coordonatorul de protecția datelor este, în general, specialist în gestionarea informațiilor sau dispune de expertiza și/sau formarea relevante.

(1)   Operatorii prezintă RPD evidențele lor privind activitățile de prelucrare, iar RPD păstrează evidențele într-un registru central.

(2)   Registrul central servește drept registru al tuturor activităților de prelucrare a datelor cu caracter personal desfășurate la BCE. Registrul central constituie o sursă de informații pentru persoanele vizate și facilitează exercitarea drepturilor acestora în temeiul articolelor 17-24 din Regulamentul (UE) 2018/1725. Registrul central este accesibil publicului. Registrul central conține cel puțin informațiile menționate la articolul 31 alineatul (1) literele (a)-(g) din Regulamentul (UE) 2018/1725.

(1)   Obligațiile respective în materie de protecție a datelor ale oricărui operator asociat sunt stabilite în conformitate cu articolul 28 din Regulamentul (UE) 2018/1725.

(2)   În cazul în care BCE acționează în calitate de operator asociat împreună cu unul sau mai mulți operatori, responsabilitățile operatorilor asociați în materie de respectare a obligațiilor privind protecția datelor se stabilesc printr-un acord între aceștia, cu excepția cazului și în măsura în care responsabilitățile respective sunt stabilite de dreptul Uniunii sau de dreptul național aplicabil operatorilor asociați.

(1)   Persoanele vizate se pot adresa operatorului competent pentru a-și exercita drepturile în temeiul articolelor 17-24 din Regulamentul (UE) 2018/1725.

(2)   Drepturile persoanelor vizate pot fi exercitate numai de către persoanele vizate sau de către reprezentanții lor împuterniciți conform legii. Aceste persoane pot exercita oricare dintre aceste drepturi în mod gratuit.

(3)   Cererile de exercitare a drepturilor persoanelor vizate se prezintă în scris operatorului competent sau, după caz, prin mijloace electronice. La primirea unei cereri din partea unei persoane vizate, operatorul competent trimite persoanei vizate o confirmare de primire în termen de cinci zile lucrătoare, îi furnizează acesteia datele de contact ale RPD și o informează cu privire la posibilitatea de a depune o plângere la AEPD și de a se adresa instanței.

(4)   În cazul în care operatorul competent are îndoieli întemeiate cu privire la identitatea persoanei vizate sau a reprezentantului său împuternicit, operatorul poate solicita furnizarea de informații suplimentare necesare pentru identificarea persoanei vizate sau a reprezentantului său împuternicit. În cazul în care persoana vizată este reprezentată de un reprezentant împuternicit, operatorul competent verifică, de asemenea, împuternicirea relevantă. Operatorul competent poate solicita informații suplimentare din partea persoanei vizate pentru a clarifica cererea persoanei vizate și a o aborda în mod eficace.

(5)   În conformitate cu articolul 14 alineatele (3) și (4) din Regulamentul (UE) 2018/1725, operatorul competent furnizează persoanei vizate informații cu privire la orice măsură întreprinsă în legătură cu o cerere, fără întârzieri nejustificate, cel târziu în termen de o lună de la primirea cererii. Dacă este necesar, această perioadă poate fi prelungită cu încă două luni, ținând seama de complexitatea și numărul cererilor persoanelor vizate primite de către operatorul competent. Operatorul competent informează persoana vizată cu privire la orice astfel de prelungire, în termen de o lună de la primirea cererii, prezentând și motivele întârzierii.

(6)   Operatorul competent răspunde cererii formulate de persoana vizată în scris, dacă este cazul, iar în cazul în care cererea persoanei vizate a fost transmisă prin mijloace electronice, operatorul competent furnizează, de asemenea, informațiile solicitate prin mijloace electronice.

(7)   Persoana vizată poate contacta în orice moment RPD, în special dacă:

RPD oferă consiliere operatorului competent cu privire la cursul adecvat de acțiune.

(8)   În cazul în care solicitările cuprinse în cererea unei persoane vizate sunt în mod evident nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul competent, după consultarea RPD, poate să refuze să dea curs cererii în conformitate cu articolul 14 alineatul (5) din Regulamentul (UE) 2018/1725 și informează persoana vizată în consecință.