Privacyverklaring voor audits

Wat is het wettelijk kader?

Alle persoonsgegevens worden verwerkt in overeenstemming met de wetgeving van de Europese Unie voor gegevensbescherming, d.w.z. Verordening (EU) 2018/1725 (EUDPR).

Waarom verwerken we persoonsgegevens?

Persoonsgegevens worden verwerkt in het kader van de interne-controlediensten van het directoraat Interne Audit (D/IA), zoals gedefinieerd door de directie in het Audithandvest van de ECB. Het doel van die verwerking is het identificeren, beoordelen, evalueren en registreren van alle relevante informatie voor assurance- en advieswerkzaamheden. Alle persoonsgegevens die voor deze werkzaamheden noodzakelijk zijn, worden verzameld bij de organisatieonderdelen van de ECB. In het algemeen verwerkt D/IA persoonsgegevens die nodig zijn voor een bepaalde taak.^[1]

D/IA verwerkt met name persoonsgegevens ten behoeve van de volgende taken:

• uitvoeren van het auditplan van de ECB en het werkprogramma van het Comité van interne auditors door middel van assurance- en advieswerkzaamheden en daarover rapporteren

• beoordelen van de uitvoeringsstatus van auditaanbevelingen

• verwerken van incidentenmeldingen vanuit organisatieonderdelen van de ECB (m.u.v. rapportages/meldingen die betrekking hebben op plichtsverzuim).

Bovendien verwerkt D/IA gegevens om ondersteuning bij controlewerkzaamheden te kunnen bieden (bijv. als secretariaat van het Comité van interne auditors) en externe accountantsdiensten te coördineren (bijv. door externe accountants of de Europese Rekenkamer).

Wat is de rechtsgrondslag voor de verwerking van uw persoonsgegevens?

Uw persoonsgegevens worden door de ECB verwerkt bij de uitvoering van een taak in het algemeen belang op grond van artikel 5, lid 1, punt a, van de EUDPR, in samenhang met Protocol (Nr. 4) betreffende de Statuten van het Europees Stelsel van centrale banken (ESCB) en van de Europese Centrale Bank (PB C 202 van 7.6.2016, blz. 230) en Verordening (EU) nr. 1024/2013 van de Raad van 15 oktober 2013 waarbij aan de Europese Centrale Bank specifieke taken worden opgedragen betreffende het beleid inzake het prudentieel toezicht op kredietinstellingen (PB L 287 van 29.10.2013, blz. 63), zoals nader omschreven in het Audithandvest van de ECB.

Wie is er verantwoordelijk voor de verwerking van uw persoonsgegevens?

De ECB is de verwerkingsverantwoordelijke van uw persoonsgegevens. Binnen de ECB is D/IA belast met deze verwerking.

Wie ontvangt uw persoonsgegevens?

De ontvangers van uw persoonsgegevens (met inbegrip van entiteiten die toegang hebben tot die persoonsgegevens) zijn de volgende:

• de te onderzoeken personen

• de aangewezen ECB-medewerkers

• de aangewezen medewerkers van de nationale centrale banken binnen het ESCB en nationale bevoegde autoriteiten binnen het gemeenschappelijk toezichtsmechanisme (met inbegrip van gedetacheerden), in voorkomend geval in het kader van de werkzaamheden van het Comité van interne auditors

• externe partijen (consultants, externe accountants en trainees) die deelnemen aan interne audits.

Persoonsgegevens worden op hun verzoek verstrekt aan leden van de directie, de Raad van Bestuur, de Raad van Toezicht en aan de Chief Services Officer van de ECB.

In voorkomend geval kunnen ook, op ‘need to know’-basis en conform het toepasselijke juridische kader, persoonsgegevens worden verstrekt aan organen die uit hoofde van het EU-recht belast zijn met toezichts- of controletaken, zoals de Europese Rekenkamer, het Europees Bureau voor fraudebestrijding, het Europees Openbaar Ministerie, nationale bevoegde autoriteiten, de Europese Toezichthouder voor gegevensbescherming, het Ethisch Comité en het Auditcomité.

Welke categorieën persoonsgegevens worden verzameld?

D/IA heeft toegang tot alle personeelsleden, dossiers, informatie, systemen en eigendommen die nodig worden geacht voor de uitvoering van zijn taken in verband met audits, en kan alle daarmee verband houdende persoonsgegevens verwerken.

De ECB mag in verband met audits de volgende persoonsgegevens verwerken:

• identificatie- en contactgegevens (bijv. naam en adres)
• gegevens over (beroeps)opleidingen
• loopbaan
• financiële gegevens
• Informatie over gezin, levensstijl en sociale omstandigheden
• informatie over geleverde goederen of verleende diensten
• informatie over civiele of bestuursrechtelijke procedures of andere onderzoeken uit hoofde van regelgeving
• informatie over strafrechtelijke procedures
• informatie over (bestuurlijke) sancties
• andere voor een bepaalde audit relevante persoonsgegevens
• indien daar aanleiding toe bestaat: bijzondere categorieën persoonsgegevens als bedoeld in artikel 10 van de EUDPR.

Worden uw persoonsgegevens (in duidelijke of versleutelde vorm) verwerkt (bijv. doorgegeven, geraadpleegd of opgeslagen) in derde landen of door internationale organisaties?

De ECB geeft uw persoonsgegevens niet door aan derde landen of internationale organisaties. Uw persoonsgegevens kunnen echter bij wijze van uitzondering wel in derde landen of door internationale organisaties worden verwerkt op basis van de afwijkingen voor specifieke situaties als bedoeld in artikel 50, lid 1, van de EUDPR.

Hoe lang bewaart de ECB persoonsgegevens?

De bewaartermijn voor de controledossiers van D/IA is in overeenstemming met het ECB-plan voor het opstellen en bewaren van gegevens (ECB Filing and Retention Plan).

Alle persoonsgegevens die tijdens een auditmissie worden verwerkt, worden gewist of geanonimiseerd zodra de besluitvormende organen van de ECB het auditverslag hebben behandeld.

Alle gegevens die nodig zijn voor follow-up en/of bewijsmateriaal kunnen tot twee jaar of, indien nodig, langer worden bewaard, in overeenstemming met het ECB-plan voor het opstellen en bewaren van gegevens. De informatie in het auditverslag wordt altijd geanonimiseerd.

Persoonsgegevens kunnen door de archieven van de ECB worden bewaard overeenkomstig Besluit (EU) 2023/1610 van de Europese Centrale Bank van 28 juli 2023 tot vaststelling van de historische archieven van de Europese Centrale Bank.

Wat zijn uw rechten?

U hebt het recht uw persoonsgegevens in te zien en onjuiste of onvolledige informatie te verbeteren. U hebt eveneens (met enige beperkingen) het recht om uw persoonsgegevens te wissen en bezwaar te maken tegen de verwerking van uw persoonsgegevens of de verwerking daarvan te beperken in overeenstemming met de EUDPR. De ECB kan uw rechten beperken om de in artikel 25, lid 1, van de EUDPR bedoelde belangen en doelstellingen te beschermen.

Met wie kunt u contact opnemen in geval van vragen of verzoeken?

U kunt uw rechten uitoefenen door contact met D/IA op te nemen via DL-DIA-DIA_MANAGEMENT@ecb.europa.eu. Voor alle vragen over uw persoonsgegevens kunt u ook direct contact opnemen met de functionaris voor gegevensbescherming van de ECB via dpo@ecb.europa.eu.

Contact opnemen met de Europese Toezichthouder voor gegevensbescherming

Als u meent dat uw rechten krachtens de EUDPR zijn geschonden als gevolg van de verwerking van uw persoonsgegevens, hebt u te allen tijde het recht een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming.