Oświadczenie o ochronie prywatności w związku z audytami

Jakie przepisy prawne stosujemy?

Wszystkie dane osobowe są przetwarzane zgodnie z unijnymi przepisami o ochronie danych, czyli rozporządzeniem (UE) 2018/1725.

Po co przetwarzamy dane osobowe?

Dane osobowe są przetwarzane w związku z usługami w zakresie audytu wewnętrznego wykonywanymi przez Dyrekcję ds. Audytu Wewnętrznego (D/IA) zdefiniowanymi przez Zarząd w Karcie audytu EBC. Celem przetwarzania tych danych jest identyfikacja, sprawdzenie, ocena i zapisanie wszystkich istotnych informacji na potrzeby działań atestacyjnych i doradczych. Wszystkie dane osobowe wchodzące w zakres tych działań są pozyskiwane od jednostek organizacyjnych EBC. Mówiąc ogólnie, D/IA przetwarza dane osobowe, które są istotne dla konkretnego zadania^[1].

W szczególności D/IA może przetwarzać dane osobowe na potrzeby wykonywania następujących zadań:

• realizacji planu audytu EBC i programu prac Komitetu ds. Audytu Wewnętrznego przez prowadzenie działań atestacyjnych i doradczych oraz zdawanie sprawozdań z tych działań

• oceny stanu realizacji zaleceń pokontrolnych

• przetwarzania zgłoszeń o incydentach otrzymanych od jednostek organizacyjnych EBC (z wyjątkiem zgłoszeń dotyczących naruszenia obowiązków zawodowych).

Ponadto D/IA przetwarza dane, żeby udzielać wsparcia w zakresie audytu (np. jako Sekretariat Komitetu ds. Audytu Wewnętrznego) i koordynować zewnętrzne usługi audytorskie (wykonywane np. przez audytorów zewnętrznych lub Europejski Trybunał Obrachunkowy).

Jaka jest podstawa prawna przetwarzania danych osobowych?

EBC przetwarza dane osobowe w ramach wykonywania zadania leżącego w interesie publicznym, na podstawie art. 5 ust. 1 lit. a) rozporządzenia (UE) 2018/1725 w związku z protokołem (nr 4) w sprawie Statutu Europejskiego Systemu Banków Centralnych (ESBC) i Europejskiego Banku Centralnego (Dz.U. C 202 z 7.6.2016, s. 230) i rozporządzeniem Rady (UE) nr 1024/2013 z dnia 15 października 2013 r. powierzającym Europejskiemu Bankowi Centralnemu szczególne zadania w odniesieniu do polityki związanej z nadzorem ostrożnościowym nad instytucjami kredytowymi (Dz.U. L 287 z 29.10.2013, s. 63), jak opisano w Karcie audytu EBC.

Kto odpowiada za przetwarzanie danych osobowych?

Administratorem danych osobowych jest EBC, a za ich przetwarzanie odpowiada D/IA.

Kto będzie odbiorcą danych osobowych?

Odbiorcami Państwa danych osobowych (z uwzględnieniem podmiotów, które mają do nich dostęp) są:

• osoby, których dane dotyczą

• wyznaczeni pracownicy EBC

• wyznaczeni pracownicy krajowych banków centralnych z ESBC i właściwych organów krajowych z SSM (łącznie z pracownikami oddelegowanymi) w przypadkach istotnych w kontekście działalności Komitetu ds. Audytu Wewnętrznego

• osoby z zewnątrz (konsultanci, audytorzy i stażyści) uczestniczące w działaniach audytu wewnętrznego.

Dane osobowe mogą zostać przekazane na żądanie członkom Zarządu EBC, Rady Prezesów, Rady ds. Nadzoru i Szefowi Służb EBC.

W stosownych przypadkach, na zasadzie wiedzy koniecznej i zgodnie z obowiązującymi przepisami, odbiorcami danych osobowych mogą być także organy wykonujące zadania w zakresie monitorowania lub inspekcji zgodnie z prawem UE, np. Europejski Trybunał Obrachunkowy, Europejski Urząd ds. Zwalczania Nadużyć Finansowych, Prokuratura Europejska, właściwe organy krajowe, Europejski Inspektor Ochrony Danych, Komitet ds. Etyki i Komitet ds. Audytu.

Do jakich kategorii należą zbierane dane osobowe?

D/IA ma dostęp do ogółu pracowników, dokumentacji, informacji, systemów i pomieszczeń niezbędnych do wypełniania jej obowiązków w zakresie audytów i może przetwarzać wszelkie związane z tym dane osobowe.

Następujące dane osobowe mogą być przetwarzane przez EBC w związku z audytami:

• dane identyfikacyjne i kontaktowe (imię i nazwisko, adres do korespondencji itp.)
• dane o wykształceniu i szkoleniach zawodowych
• dane o zatrudnieniu
• dane finansowe
• informacje o rodzinie, stylu życia i sytuacji społecznej
• informacje o dostarczanych produktach i usługach
• informacje o postępowaniach cywilnych i administracyjnych lub prowadzonych postępowaniach przygotowawczych
• informacje o postępowaniach karnych
• informacje o karach lub innych sankcjach administracyjnych
• inne dane osobowe istotne dla danego audytu
• w uzasadnionych wypadkach – szczególne kategorie danych wchodzące w zakres art. 10 rozporządzenia (UE) 2018/1725.

Czy Państwa dane osobowe (w niezaszyfrowanej lub zaszyfrowanej formie) będą przetwarzane (np. przekazywane, udostępniane lub przechowywane) w państwach trzecich lub przez organizacje międzynarodowe?

EBC nie przewiduje przekazywania danych osobowych państwom trzecim ani organizacjom międzynarodowym. Mimo to Państwa dane osobowe mogą w drodze wyjątku być przetwarzane w państwach trzecich lub przez organizacje międzynarodowe na podstawie odstępstw dotyczących szczególnych sytuacji określonych w art. 50 ust. 1 rozporządzenia (UE) 2018/1725.

Jak długo EBC przechowuje dane osobowe?

Okres przechowywania dokumentacji audytowej D/IA wynika z planu EBC dotyczącego archiwizacji i przechowywania danych.

Dane osobowe przetwarzane w trakcie audytu są usuwane lub anonimizowane po zapoznaniu się przez organy decyzyjne EBC ze sprawozdaniem z audytu.

Dane potrzebne do działań następczych lub zebrania dowodów mogą być przechowywane przez okres do dwóch lat lub dłużej, w razie konieczności, zgodnie z planem EBC dotyczącym archiwizacji i przechowywania danych. Informacje dotyczące sprawozdania z audytu są zawsze zanonimizowane.

Dane osobowe mogą być przechowywane w archiwach EBC na podstawie decyzji Europejskiego Banku Centralnego (UE) 2023/1610 z dnia 28 lipca 2023 r. ustanawiającej archiwa historyczne Europejskiego Banku Centralnego.

Jakie prawa ma osoba, której dane dotyczą?

Osoba, której dane dotyczą, ma prawo uzyskać dostęp do swoich danych osobowych oraz sprostować niedokładne lub niekompletne dane. Ma też (pod pewnymi warunkami) prawo do usunięcia swoich danych osobowych, wniesienia sprzeciwu wobec ich przetwarzania lub ograniczenia ich przetwarzania, zgodnie z rozporządzeniem (UE) 2018/1725. EBC może ograniczyć te prawa w celu ochrony interesów i celów, o których mowa w art. 25 ust. 1 rozporządzenia (UE) 2018/1725.

Do kogo należy kierować pytania i wnioski?

Żeby skorzystać z tych praw, należy przesłać wiadomość do D/IA na adres DL-DIA-DIA_MANAGEMENT@ecb.europa.eu. Pytania dotyczące danych osobowych można też kierować bezpośrednio do inspektora ochrony danych w EBC pod adresem dpo@ecb.europa.eu.

Europejski Inspektor Ochrony Danych

Osoby, które uważają, że w wyniku przetwarzania danych osobowych naruszono ich prawa wynikające z rozporządzenia (UE) 2018/1725, mogą zawsze wnieść skargę do Europejskiego Inspektora Ochrony Danych.