WYTYCZNE EUROPEJSKIEGO BANKU CENTRALNEGO (UE) 2016/256

z dnia 5 lutego 2016 r.

w sprawie rozszerzenia wspólnych zasad i minimalnych standardów ochrony poufności informacji statystycznych zbieranych przez Europejski Bank Centralny przy wsparciu krajowych banków centralnych na właściwe organy krajowe uczestniczących państw członkowskich oraz Europejski Bank Centralny wykonujący swoje zadania nadzorcze (EBC/2016/1)

RADA PREZESÓW EUROPEJSKIEGO BANKU CENTRALNEGO,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 127 ust. 6,

uwzględniając rozporządzenie Rady (UE) nr 1024/2013 z dnia 15 października 2013 r. powierzające Europejskiemu Bankowi Centralnemu szczególne zadania w odniesieniu do polityki związanej z nadzorem ostrożnościowym nad instytucjami kredytowymi (1), w szczególności jego art. 6 ust. 1 w związku z art. 6 ust. 7,

a także mając na uwadze, co następuje:

PRZYJMUJE NINIEJSZE WYTYCZNE:

Artykuł 1

Definicje

Użyte w niniejszych wytycznych określenia oznaczają:

1)   „poufne informacje statystyczne”– informacje statystyczne określone jako poufne na podstawie art. 1 pkt 12 rozporządzenia (WE) nr 2533/98, które są zbierane na podstawie przepisów tego rozporządzenia i w celach w nim określonych;

2)   „środki ochrony”– procedury właściwe dla logicznej i fizycznej ochrony poufnych informacji statystycznych;

3)   „środki ochrony logicznej”– środki ochrony zapobiegające nieautoryzowanemu dostępowi do poufnych informacji statystycznych;

4)   „środki ochrony fizycznej”– środki ochrony zapobiegające nieautoryzowanemu dostępowi do przestrzeni fizycznej lub nośników fizycznych;

5)   „przestrzeń fizyczna”– część budynku, w której znajdują się nośniki fizyczne, na których poufne informacje statystyczne są przechowywane lub przetwarzane;

6)   „nośniki fizyczne”– egzemplarze drukowane (papierowe) oraz osprzęt komputerowy (w tym urządzenia peryferyjne i nośniki danych), na których poufne informacje statystyczne są przechowywane lub przetwarzane;

7)   „właściwy organ krajowy”– ma znaczenie nadane w art. 2 pkt 2 rozporządzenia (UE) nr 1024/2013;

8)   „podmiot sprawozdający”– ma znaczenie nadane w art. 1 pkt 2 rozporządzenia (WE) nr 2533/98.

Artykuł 2

Ochrona logiczna

1.   Zarówno EBC, jak i właściwe organy krajowe określą i wdrożą zasady udzielania dostępu oraz środki ochrony logicznej dotyczące dostępu ich pracowników do poufnych informacji statystycznych.

2.   Z zastrzeżeniem zapewnienia ciągłości działania administracyjnych funkcji systemowych, minimalnymi środkami ochronnymi, które należy wdrożyć, są niepowtarzalny identyfikator użytkownika oraz indywidualne hasło.

3.   Należy przedsięwziąć wszelkie stosowne środki ochrony w celu zapewnienia organizacji poufnych informacji statystycznych w taki sposób, aby jakiekolwiek publikowane dane obejmowały przynajmniej trzy podmioty gospodarcze. Jeżeli jeden lub dwa podmioty gospodarcze mają wystarczająco duży udział w danej obserwacji, by umożliwić ich pośrednią identyfikację, publikowane dane powinny być zorganizowane w sposób zapobiegający pośredniej identyfikacji. Powyższe zasady nie znajdują zastosowania, jeżeli podmioty sprawozdające lub inne osoby prawne, osoby fizyczne, podmioty lub oddziały, które mogą zostać zidentyfikowane, wyraziły zgodę na ich ujawnienie.

Artykuł 3

Ochrona fizyczna

Zarówno EBC, jak i właściwe organy krajowe określają i wdrażają zasady udzielania dostępu oraz fizyczne środki ochrony dotyczące dostępu ich pracowników do przestrzeni fizycznych, z zastrzeżeniem art. 4 niniejszych wytycznych.

Artykuł 4

Dostęp podmiotów trzecich

W przypadku podmiotów trzecich posiadających dostęp do poufnych informacji statystycznych zgodnie z art. 8 ust. 4a rozporządzenia (WE) nr 2533/98 EBC oraz właściwe organy krajowe zapewniają przy pomocy odpowiednich środków, a w miarę możliwości na podstawie umów, przestrzeganie wymogów poufności określonych w rozporządzeniu (WE) nr 2533/98 oraz niniejszych wytycznych.

Artykuł 5

Przesyłanie danych i sieci

1.   W przypadkach dopuszczonych w art. 8 rozporządzenia (WE) nr 2533/98 poufne informacje statystyczne przekazywane są extra muros po zaszyfrowaniu.

2.   Zarówno EBC, jak i właściwe organy krajowe określą zasady udzielania dostępu dla takiego przesyłania poufnych informacji statystycznych.

3.   W przypadku sieci wewnętrznych należy przedsięwziąć odpowiednie środki ochrony zapobiegające nieautoryzowanemu dostępowi.

4.   Interaktywny dostęp do poufnych informacji statystycznych z niezabezpieczonych sieci powinien być zabroniony.

Artykuł 6

Dokumentacja i świadomość pracowników

EBC oraz właściwe organy krajowe zapewnią dokumentację wszelkich zasad i procedur dotyczących ochrony poufnych informacji statystycznych oraz aktualizację tej dokumentacji. Należy poinformować zaangażowanych pracowników o powadze ochrony poufnych informacji statystycznych oraz informować ich na bieżąco o zmianach zasad i procedur dotyczących wykonywanej przez nich pracy.

Artykuł 7

Sprawozdawczość

1.   Właściwe organy krajowe przekazują EBC przynajmniej raz w roku informacje o problemach występujących od ostatniego sprawozdania, działaniach podjętych celem rozwiązania tych problemów oraz planowanych usprawnieniach dotyczących ochrony poufnych informacji statystycznych. EBC sporządza również przynajmniej raz w roku sprawozdanie dotyczące powyższych kwestii.

2.   Rada Prezesów dokonuje oceny wdrożenia niniejszych wytycznych przynajmniej raz w roku. W ramach przygotowań do tej oceny EBC informowany jest o zasadach udzielania dostępu oraz rodzajach środków ochrony zastosowanych przez właściwe organy krajowe, o których mowa w art. 2, 3 i 5 niniejszych wytycznych. EBC składa Radzie Prezesów sprawozdania z zastosowania powyższych zasad i środków ochrony przez właściwe organy krajowe i EBC.

Artykuł 8

Skuteczność i implementacja

1.   Niniejsze wytyczne stają się skuteczne od dwudziestego dnia po ich opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

2.   Właściwe organy krajowe oraz EBC zapewniają stosowanie postanowień niniejszych wytycznych również do członków ich organów decyzyjnych.

3.   W prawnie dopuszczonym zakresie EBC i właściwe organy krajowe podejmują działania mające na celu objęcie obowiązkami określonymi przy implementacji postanowień niniejszych wytycznych także osób uczestniczących w wykonywaniu zadań nadzorczych, które nie są ich pracownikami.

Artykuł 9

Adresaci

Niniejsze wytyczne skierowane są do właściwych organów krajowych oraz EBC wykonującego swoje zadania na podstawie rozporządzenia (UE) nr 1024/2013 w zakresie, w jakim podmioty te otrzymują poufne informacje statystyczne z ESBC.

(1)  Dz.U. L 287 z 29.10.2013, s. 63.

(2)  Rozporządzenie Rady (WE) nr 2533/98 z dnia 23 listopada 1998 r. dotyczące zbierania informacji statystycznych przez Europejski Bank Centralny (Dz.U. L 318 z 27.11.1998, s. 8).

(3)  Wytyczne EBC/1998/NP28 z dnia 22 grudnia 1998 r. w sprawie wspólnych zasad i minimalnych standardów ochrony poufności indywidualnych informacji statystycznych zbieranych przez EBC przy wsparciu krajowych banków centralnych (Dz.U. L 55 z 24.2.2001, s. 72).

(4)  Rozporządzenie Rady (UE) 2015/373 z dnia 5 marca 2015 r. zmieniające rozporządzenie (WE) nr 2533/98 dotyczące zbierania informacji statystycznych przez Europejski Bank Centralny (Dz.U. L 64 z 7.3.2015, s. 6).