Oświadczenie o ochronie prywatności w związku z audytami
Jakie są ramy prawne?
Wszystkie dane osobowe są przetwarzane zgodnie z unijnymi przepisami o ochronie danych, czyli rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).
Po co przetwarzamy dane osobowe?
Dane osobowe są przetwarzane w związku z usługami w zakresie audytu wewnętrznego wykonywanymi przez Dyrekcję ds. Audytu Wewnętrznego (D/IA) zdefiniowanymi przez Zarząd w Karcie audytu EBC. Celem przetwarzania danych jest identyfikacja, sprawdzenie, ocena i zapisanie wszystkich istotnych informacji na potrzeby działań atestacyjnych i doradczych. Wszystkie dane osobowe wchodzące w zakres tych działań są pozyskiwane od jednostek organizacyjnych EBC. Mówiąc ogólnie, D/IA przetwarza dane osobowe, które są istotne dla konkretnego zadania.
W szczególności D/IA może przetwarzać dane osobowe na potrzeby wykonywania następujących zadań:
- realizacji planu audytu EBC i programu prac Komitetu ds. Audytu Wewnętrznego przez prowadzenie działań atestacyjnych i doradczych i zdawanie sprawozdań z tych działań
- oceny stanu realizacji zaleceń pokontrolnych
- przetwarzania zgłoszeń o incydentach otrzymanych od jednostek organizacyjnych EBC (z wyjątkiem zgłoszeń dotyczących naruszenia obowiązków zawodowych).
Ponadto D/IA przetwarza dane, żeby udzielać wsparcia w zakresie audytu (np. jako sekretariat Komitetu ds. Audytu Wewnętrznego) i koordynować zewnętrzne usługi audytorskie (wykonywane np. przez audytorów zewnętrznych lub Europejski Trybunał Obrachunkowy).
Jaka jest podstawa prawna przetwarzania danych osobowych?
EBC przetwarza dane osobowe w ramach wykonywania zadania leżącego w interesie publicznym, na podstawie art. 5 ust. 1 lit. a) rozporządzenia (UE) 2018/1725 w związku z protokołem (nr 4) w sprawie Statutu Europejskiego Systemu Banków Centralnych (ESBC) i Europejskiego Banku Centralnego (Dz.U. C 202 z 7.6.2016, s. 230) i rozporządzeniem Rady (UE) nr 1024/2013 z dnia 15 października 2013 r. powierzającym Europejskiemu Bankowi Centralnemu szczególne zadania w odniesieniu do polityki związanej z nadzorem ostrożnościowym nad instytucjami kredytowymi (Dz.U. L 287 z 29.10.2013, s. 63), jak opisano w Karcie audytu EBC.
Kto odpowiada za przetwarzanie danych osobowych?
Administratorem danych osobowych jest EBC, a za ich przetwarzanie odpowiada D/IA.
Kto ma dostęp do danych osobowych?
Odbiorcami danych są:
- osoby, których dane dotyczą
- wyznaczeni pracownicy EBC
- wyznaczeni pracownicy krajowych banków centralnych z ESBC i właściwych organów krajowych z SSM (łącznie z pracownikami oddelegowanymi)
- osoby z zewnątrz (konsultanci, audytorzy i stażyści) uczestniczące w działaniach audytu wewnętrznego.
Dane osobowe mogą zostać przekazane na żądanie członkom Zarządu EBC, Rady Prezesów, Rady ds. Nadzoru i Szefowi Służb EBC.
W stosownych przypadkach, na zasadzie wiedzy koniecznej i zgodnie z obowiązującymi przepisami, odbiorcami danych osobowych mogą być organy wykonujące zadania w zakresie monitorowania lub inspekcji zgodnie z prawem Unii, np. Europejski Trybunał Obrachunkowy, Europejski Urząd ds. Zwalczania Nadużyć Finansowych, Prokuratura Europejska, właściwe organy krajowe, Europejski Inspektor Ochrony Danych, Komitet ds. Etyki i Komitet ds. Audytu.
Jakie dane osobowe są zbierane?
D/IA ma dostęp do pracowników, dokumentacji, informacji, systemów i pomieszczeń niezbędnych do wypełniania jej obowiązków w zakresie audytów i może przetwarzać wszelkie związane z tym dane osobowe.
Następujące dane osobowe mogą być przetwarzane przez EBC w związku z audytami:
- dane identyfikacyjne i kontaktowe (imię i nazwisko, adres do korespondencji itp.)
- dane o wykształceniu i szkoleniach zawodowych
- dane o zatrudnieniu
- dane finansowe
- dane o sytuacji rodzinnej i społecznej oraz trybie życia
- informacje o dostarczanych produktach i usługach
- informacje o postępowaniach cywilnych i administracyjnych lub prowadzonych postępowaniach przygotowawczych
- informacje o postępowaniach karnych
- informacje o karach lub innych sankcjach administracyjnych
- inne dane osobowe istotne dla danego audytu
- w uzasadnionych wypadkach – szczególne kategorie danych wchodzące w zakres art. 10 rozporządzenia (UE) 2018/1725.
Jak długo EBC przechowuje dane osobowe?
Dane osobowe będą przechowywane przez maksymalnie 15 lat od zakończenia działań, po czym zostaną usunięte, chyba że będą potrzebne dłużej w związku z potencjalnymi działaniami następczymi, takimi jak postępowania dyscyplinarne lub sądowe.
Informacje przedstawiane w sprawozdaniach z audytu są z zasady anonimizowane.
Jakie prawa ma osoba, której dane dotyczą?
Osoba, której dane dotyczą, ma prawo uzyskać dostęp do swoich danych osobowych oraz sprostować dane niedokładne lub niekompletne. Ma też prawo (pod pewnymi warunkami) do usunięcia swoich danych osobowych, wniesienia sprzeciwu wobec ich przetwarzania lub ograniczenia ich przetwarzania, zgodnie z rozporządzeniem (UE) 2018/1725.
Do kogo należy kierować pytania i prośby?
Żeby skorzystać z tych praw, należy przesłać wiadomość do D/IA na adres DIAManagement@ecb.europa.eu. Pytania dotyczące danych osobowych można też kierować bezpośrednio do inspektora ochrony danych w EBC pod adresem dpo@ecb.europa.eu.
Europejski Inspektor Ochrony Danych
Jeżeli osoba, której dane dotyczą, uzna, że w wyniku przetwarzania danych osobowych naruszono jej prawa określone w rozporządzeniu (UE) 2018/1725, może w dowolnym momencie złożyć skargę do Europejskiego Inspektora Ochrony Danych.
Więcej informacji zawiera rejestr czynności przetwarzania danych.