Déclaration de confidentialité pour les missions d’audit

Dans quel cadre juridique agissons-nous ?

Toutes les données à caractère personnel sont traitées conformément à la législation européenne sur la protection des données, à savoir le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n^o 45/2001 et la décision n^o 1247/2002/CE, JO L 295 du 21.11.2018, p. 39.

Pourquoi exploitons-nous des données personnelles ?

Les données à caractère personnel sont traitées dans le contexte des services d’audit interne fournis par la Direction de l’Audit interne (D/IA), tels que définis par le directoire dans la Charte d’audit de la BCE. Ce traitement a pour but de recenser, d’évaluer et d’enregistrer toute information pertinente dans le cadre des activités d’assurance et de conseil. Toutes les données à caractère personnel entrant dans le champ de ces activités sont collectées par les unités organisationnelles de la BCE. La D/IA traite habituellement les données à caractère personnel qui sont pertinentes pour une tâche spécifique.

Elle peut notamment traiter des données à caractère personnel pour s’acquitter des tâches suivantes :

• mise en œuvre du plan d’audit de la BCE et du programme de travail du comité des auditeurs internes (Internal Auditors Committee, IAC) par la conduite d’activités d’assurance et de conseil et l’établissement de rapports à leur sujet ;
• évaluation de l’avancement de la mise en œuvre des recommandations d’audit ;
• traitement des rapports d’incidents provenant des unités organisationnelles de la BCE (à l’exception des rapports d’incidents concernant des manquements aux obligations professionnelles).

En outre, la D/IA traite des données afin d’appuyer des missions d’audit (en tant que secrétariat de l’IAC, par exemple) et de coordonner les services d’audit externe (assurés par des auditeurs externes ou par la Cour des comptes européenne, par exemple).

Quel est le fondement juridique du traitement de vos données à caractère personnel ?

Vos données à caractère personnel sont traitées par la BCE dans le cadre de l’exécution d’une mission d’intérêt public, conformément à l’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725, conjointement avec le protocole (n^o 4) sur les statuts du Système européen de banques centrales et de la Banque centrale européenne (JO C 202 du 7.6.2016, p. 230) et le règlement (UE) n^o 1024/2013 du Conseil du 15 octobre 2013 confiant à la Banque centrale européenne des missions spécifiques ayant trait aux politiques en matière de surveillance prudentielle des établissements de crédit (JO L 287 du 29.10.2013, p 63). Pour plus d’informations, veuillez consulter la Charte d’audit de la BCE.

Qui est responsable du traitement de vos données personnelles ?

La BCE exerce le rôle de contrôleur du traitement de ces données, et la D/IA est responsable de leur traitement.

Qui reçoit vos données à caractère personnel ?

Les destinataires de vos données à caractère personnel sont :

• les personnes concernées par les données en question ;
• des membres désignés du personnel de la BCE ;
• des membres désignés du personnel (y compris personnel détaché) des banques centrales nationales appartenant au Système européen de banques centrales et des autorités compétentes nationales appartenant au mécanisme de surveillance unique ;
• des collaborateurs externes (consultants, auditeurs externes et stagiaires) participant aux activités d’audit interne.

Les membres du directoire de la BCE, du Conseil des gouverneurs et du conseil de surveillance prudentielle ainsi que le secrétaire général des services de la BCE peuvent recevoir des données à caractère personnel sur simple demande.

Les organismes chargés de tâches de contrôle ou d’inspection en vertu du droit de l’Union (la Cour des comptes européenne, l’Office européen de lutte antifraude, le Parquet européen, des autorités compétentes nationales, le contrôleur européen de la protection des données, le comité d’éthique et le comité d’audit, par exemple) peuvent, le cas échéant, recevoir des données à caractère personnel selon le principe du « besoin d’en connaître » et dans le respect du cadre juridique applicable.

Quels types de données à caractère personnel sont recueillies ?

La D/IA a accès à l’ensemble des données personnelles, dossiers, informations, systèmes et biens qu’elle juge nécessaires pour pouvoir s’acquitter de ses responsabilités dans le cadre des missions d’audit, et peut traiter toutes les données à caractère personnel qui s’y rapportent.

Dans le cadre des missions d’audit, la BCE peut traiter les données à caractère personnel suivantes :

• identité et coordonnées (nom, adresse postale, etc.) ;
• éducation et formation professionnelle ;
• situation professionnelle ;
• situation financière ;
• situation familiale et sociale, style de vie ;
• informations relatives aux biens ou services fournis ;
• informations relatives à toute procédure civile ou administrative ou à toute autre enquête réglementaire ;
• informations relatives à toute procédure pénale ;
• informations relatives à des sanctions, notamment administratives ;
• toute autre donnée à caractère personnel se rapportant à une mission d’audit spécifique ;
• catégories particulières de données relevant de l’article 10 du règlement (UE) 2018/1725, lorsque cela est justifié.

Combien de temps la BCE conserve-t-elle les données à caractère personnel ?

Les données à caractère personnel sont conservées pour une durée de 15 ans maximum à compter de la date de fin de l’activité puis supprimées, à moins qu’elles ne soient nécessaires plus longtemps en vue d’éventuelles actions de suivi, telles que des procédures disciplinaires ou judiciaires.

En règle générale, les informations présentées dans les rapports d’audit sont anonymisées.

Quels sont vos droits ?

Vous avez le droit d’accéder à vos données à caractère personnel et de rectifier toute information erronée ou incomplète. Vous pouvez aussi (avec certaines restrictions) supprimer vos données à caractère personnel, ou refuser ou limiter leur traitement conformément au règlement (UE) 2018/1725.

À qui pouvez-vous vous adresser en cas de questions ou pour formuler une demande ?

Vous pouvez exercer ces droits en prenant contact avec la D/IA par courrier électronique à DIAManagement@ecb.europa.eu. Pour toutes les questions relatives aux données à caractère personnel, vous pouvez aussi vous adresser directement au responsable de la protection des données en envoyant un courrier électronique à dpo@ecb.europa.eu.

S’adresser au contrôleur européen de la protection des données

Si vous estimez que le traitement de vos données à caractère personnel enfreint les droits que vous accorde le règlement (UE) n^o 2018/1725, vous pouvez à tout moment déposer un recours devant le contrôleur européen de la protection des données.

Pour de plus amples informations, veuillez consulter le registre des activités de traitement des données de la BCE.