Rikkumisest teatamise platvorm: isikuandmete kaitse põhimõtted

EKP suhtes kohaldatav andmekaitse õigusraamistik

Kõiki isikuandmeid töödeldakse vastavalt ELi andmekaitseseadusele, nimelt Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrusele (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ.

Milliseid andmeid EKP kogub ja kuidas seda tehakse?

EKP kogub tundlikku teavet ja isikuandmeid isikute kohta, kes teavitavad asjaomase ELi õiguse rikkumisest. EKP kogub tundlikku teavet ja isikuandmeid ka väidetavalt rikkumise toime pannud isikute kohta ning teiste asjaomaste poolte kohta, keda on rikkumisest teatamise platvormi kaudu esitatud rikkumisteadetes nimetatud. EKP töötleb ka kõigi oma töötajate ja riiklike pädevate asutuste (riiklike järelevalveasutuste) töötajate isikuandmeid ning ka kõigi teiste rikkumisteates või seonduvas toimikus nimetatud isikute andmeid. Kui EKP leiab, et kõnealused isikud ei ole käsitletava juhtumi seisukohalt asjakohased, lõpetab ta nende andmete töötlemise.

Arvestades et rikkumisest teatamise platvormi kaudu on võimalik asjaomase ELi õiguse rikkumisest anonüümselt teada anda, ei ole rikkumisteadet esitavad isikud mitte ühelgi viisil kohustatud avaldama oma isikuandmeid. Siiski ei ole võimalik välistada, et EKP saab rikkumisteate uurimise käigus teavet, mis sisaldab tuvastusandmeid (sh isiku ees- ja perekonnanimi, sünniaeg, sünnikoht, aadress, telefoni- ja faksinumber, meiliaadress ja IP-aadress), ametialaseid andmeid (sh isiku amet, tööandja ja ametikoht) või finantsandmeid (sh palgatõendid, pangakontod ja väärtpaberiportfellid).

Kes vastutab rikkumisest teatamise platvormi kaudu kogutud isikuandmete töötlemise eest?

EKP kontrollib vastutava töötlejana rikkumisest teatamise platvormi kaudu kogutud isikuandmete töötlemist ning nende andmete töötlemise eest vastutab EKP jõustamise ja sanktsioonide osakond.

Platvormi kaudu esitatud teavet töötleb EKP nimel ka väline turvaline teenuseosutaja EQS Group AG. EQS Group AG-l puudub juurdepääs teadete sisule.

Mis eesmärgil ja millisel õiguslikul alusel EKP isikuandmeid töötleb?

EKP rikkumisest teatamise platvormi võib kasutada igaüks, kellel on heauskselt tegutsedes põhjust kahtlustada, et järelevalve alla kuuluv üksus või pädev asutus (riiklik järelevalveasutus (ehk riiklik pädev asutus) või EKP) on rikkunud nõukogu määruse (EL) nr 1024/2013 (ühtse järelevalvemehhanismi määrus) artikli 4 lõikes 3 osutatud õigusakte, ning kes soovib esitada EKP-le asjakohast teavet.

Isikuandmeid koguvad ja töötlevad EKP jõustamise ja sanktsioonide osakond ning EQS Group AG kooskõlas määruse 2018/1725 artikli 5 lõike 1 punktiga a.

Kellel on juurdepääs esitatud andmetele ja kellele neid avalikustakse?

Rikkumisest teatamise platvormi kaudu esitatud teavet töötleb EKP nimel väline teenuseosutaja EQS Group AG. Rikkumisest teatamise platvormi kaudu esitatud andmeid töödeldakse pilvesalvestussüsteemi kaudu, mille serverid asuvad Saksamaal. Esitatud andmetele on juurdepääs üksnes EKPs töötavatel kasutajatel.

EKPs vastutab rikkumisest teatamise platvormi kaudu edastatud teadete töötlemise eest EKP jõustamise ja sanktsioonide osakond ning selle liikmed on kohustatud järgima rangeid konfidentsiaalsusnõudeid. Jõustamise ja sanktsioonide osakond otsustab, kas edastada teave EKP pädevatele tegevusharudele ja/või pädevatele asutustele (riiklikele järelevalveasutustele) kooskõlas ühtse järelevalvemehhanismi määrusega.

EKP on rikkumisest teatamise platvormi sisse seadnud üksnes selleks, et saada teavet selle kohta, kui järelevalve alla kuuluv pank, riiklik järelevalveasutus või EKP ise on rikkunud asjaomast Euroopa Liidu õigust.

Kui EKP saab teate asjaomase ELi õiguse rikkumise kohta, edastatakse see teave EKP pädevale tegevusharule ja/või riiklikele järelevalveasutustele. EKP käsitleb sellist teadet kaitse all oleva teatena. See tähendab, et EKP ei avalda rikkumisest teatamise platvormi kaudu kaitse all oleva teate esitanud isiku identiteeti ilma isiku eelneva selgesõnalise nõusolekuta, välja arvatud juhul, kui avaldamine on nõutav kohtu korraldusel juhtumi edasisel uurimisel või järgnevas kohtumenetluses.

Kui EKP-le esitatakse teateid, mis ei ole seotud asjaomase ELi õiguse rikkumisega, kuid puudutavad EKP muid ülesandeid, edastatakse asjaomane teave EKP pädevale tegevusharule. Kehtivad EKP üldised andmekaitsenõuded.

Kui EKP teeb kindlaks, et talle esitatud teated on seotud mitte asjassepuutuva ELi õiguse (nt terrorismi rahastamise ja rahapesu vastane võitlus, tarbijakaitse või makseteenuste järelevalve) rikkumisega ning ei puuduta EKP muid ülesandeid, kustutab ta saadud isikuandmed ilma teavet edastamata. Kehtivad EKP üldised andmekaitsenõuded. Mitte asjassepuutuva ELi õiguse rikkumised võivad siiski paljastada usaldatavusnõuete rikkumisi. Näiteks võivad terrorismi rahastamise ja rahapesu vastase võitluse eeskirjade rikkumised osutada puudujääkidele juhtimises ja sisekontrollimehhanismides, mille struktuur on sätestatud krediidiasutuste usaldatavusnõuete täitmise järelevalve eeskirjades. Seepärast võib EKP juhtumipõhiselt käsitleda selliseid teateid kaitse all olevate teadetena asjaomase ELi õiguse rikkumise kohta ning teave edastatakse EKP pädevatele tegevusharudele ja/või riiklikele järelevalveasutustele kooskõlas ühtse järelevalvemehhanismi määrusega.

Ühtlasi võib EKP edastada rikkumisteatest saadud teavet rahapesuvastase võitluse eest vastutavatele riiklikele asutustele, kui i) teade sisaldab teavet, mis on asjakohane ja vajalik kõnealuste asutuste ülesannete täitmiseks kooskõlas mitmepoolse kokkuleppega EKP ning terrorismi rahastamise ja rahapesu vastase võitlusega tegelevate asutuste vahelise teabevahetuse praktilise korra kohta, ning ii) teave puudutab järelevalve alla kuuluva üksuse sisemist süsteemi ja kontrollimehhanisme.

Kui kaua EKP rikkumisest teatamise platvormi kaudu esitatud isikuandmeid säilitab?

Pärast toimiku sulgemist säilitatakse asjakohaseid isikuandmeid allpool kirjeldatud säilitamisperioodi vältel.

Kui EKP-le esitatud teadet peetakse EKP järelevalveülesannete seisukohalt asjakohaseks, säilitatakse andmeid viis aastat. Kui EKP-le esitatud teadet ei peeta EKP järelevalveülesannete seisukohalt asjakohaseks, kuid see puudutab EKP muid ülesandeid, säilitatakse andmeid 12 kuud. Kui EKP otsustab, et teade ei ole oluline EKP ühegi ülesande seisukohalt, säilitatakse andmeid kolm kuud.

Isikuandmete edastamine ELi-välistele riikidele

EKP on osaline mitmesugustes koostöölepingutes ja sõlmib edaspidigi selliseid kokkuleppeid teiste asutuste või rahvusvaheliste organisatsioonidega. Need organisatsioonid võivad taotleda isikuandmeid ELi õiguse rikkumisi käsitlevate rikkumisteadete toimikutest. Sel juhul peab EKP täitma konkreetseid eeskirju isikuandmete edastamise kohta vastuvõtjatele ELi-välistes riikides, kus ELi andmekaitsealased õigusaktid ei kehti. Need eeskirjad on sätestatud andmekaitsemääruse V peatükis.

Andmesubjekti õigused

Teil on õigus saada juurdepääs oma isikuandmetele ja neid parandada, piirata andmete töötlemist või nende töötlemist vaidlustada ning teatavatel tingimustel taotleda andmete kustutamist. Oma õiguste kasutamiseks võite võtta ühendust järgmisel aadressil:

European Central Bank
Directorate General SSM Governance and Operations – Enforcement and Sanctions Division
Whistleblowing mechanism
60640 Frankfurt am Main

Samuti on teil igal ajal õigus pöörduda oma isikuandmete töötlemisega seotud küsimustes Euroopa Andmekaitseinspektori poole.

Lisateave

Küsimused isikuandmete töötlemise või oma õiguste kasutamise kohta võib saata EKP andmekaitseametnikule (dpo@ecb.europa.eu).