Banca Centrală Europeană a adoptat un nou cadru juridic care reglementează modul în care datele cu caracter personal sunt prelucrate în activitatea de supraveghere prudențială a instituțiilor de credit din zona euro. Este vorba despre Decizia (UE) 2026/1942 a Băncii Centrale Europene (BCE/2026/18), emisă de Consiliul guvernatorilor BCE la 30 iulie 2026 și publicată în Jurnalul Oficial al Uniunii Europene (Seria L) la 14 august 2026.
Actul stabilește, pentru prima dată într-un cadru unitar, acordul dintre BCE și autoritățile naționale competente (ANC) din statele participante la Mecanismul Unic de Supraveghere (MUS) privind statutul de operatori asociați de date, în conformitate cu Regulamentul (UE) 2018/1725 și cu Regulamentul General privind Protecția Datelor (GDPR – Regulamentul (UE) 2016/679).
Șapte categorii de atribuții de supraveghere, sub regimul de operatori asociați
Potrivit deciziei, BCE și autoritățile naționale competente acționează ca operatori asociați pentru șapte mari categorii de activități de supraveghere bancară:
- evaluarea competenței și onorabilității (fit & proper) pentru entitățile semnificative;
- procedurile de autorizare – acordarea sau retragerea licențelor, participațiile calificate, sucursalele și pașaportarea, fuziunile și divizările, holdingurile financiare;
- supravegherea continuă a entităților semnificative;
- asigurarea respectării normelor și aplicarea sancțiunilor;
- inspecțiile la fața locului la entitățile semnificative;
- monitorizarea supravegherii entităților mai puțin semnificative;
- supravegherea directă a entităților mai puțin semnificative.
Regimul de operatori asociați nu se aplică, însă, canalelor de avertizare de integritate (whistleblowing) și situațiilor în care o autoritate națională acționează exclusiv în baza unui alt temei juridic național, caz în care aceasta rămâne operator unic.
Cine informează persoanele vizate și cum se soluționează cererile acestora
Decizia clarifică faptul că responsabilitatea informării persoanelor vizate revine operatorului asociat care inițiază prelucrarea sau colectează datele – de exemplu, BCE pentru datele încărcate prin portalul IMAS sau colectate în cadrul supravegherii continue, respectiv autoritatea națională competentă în faza inițială a cererilor naționale de autorizare sau evaluare. Fiecare operator este obligat să publice pe propriul site un aviz de protecție a datelor.
Persoanele vizate își pot exercita drepturile față de oricare dintre cei doi operatori. Decizia introduce criterii clare pentru stabilirea operatorului responsabil efectiv de soluționarea cererii, în funcție de stadiul procedurii: autoritatea națională competentă răspunde până la transmiterea proiectului de decizie sau a propunerii către BCE, iar ulterior responsabilitatea trece la BCE. Dacă o cerere ajunge la operatorul necompetent, aceasta trebuie redirecționată fără întârzieri nejustificate, iar solicitantul este informat.
Termen de 24 de ore pentru notificarea incidentelor de securitate
Unul dintre elementele centrale ale deciziei vizează gestionarea încălcărilor securității datelor. Notificarea internă între toți operatorii asociați trebuie realizată fără întârzieri nejustificate și în cel mult 24 de ore de la momentul în care incidentul a fost luat la cunoștință. Gestionarea propriu-zisă a incidentului revine operatorului căruia îi este imputabilă încălcarea; dacă acesta nu poate fi identificat în intervalul de 24 de ore, răspunderea gestionării devine comună.
BCE are obligația de a notifica întotdeauna Autoritatea Europeană pentru Protecția Datelor (AEPD/EDPS), cu excepția cazurilor în care incidentul nu prezintă niciun risc pentru drepturile persoanelor fizice.
Evaluări de impact comune și mecanism de soluționare a disputelor
Decizia reglementează și modul în care se realizează evaluările de impact asupra protecției datelor (DPIA). O evaluare DPIA comună devine finală numai după aprobarea tuturor operatorilor asociați implicați, iar în cazul identificării unor riscuri ridicate ce nu pot fi atenuate, este obligatorie consultarea autorităților de supraveghere competente și a AEPD.
În privința răspunderii, actul prevede răspundere solidară față de persoana vătămată, în timp ce, pe plan intern, despăgubirile se repartizează în funcție de gradul real de vinovăție al fiecărui operator; operatorul nevinovat beneficiază de drept de regres integral. Pentru situațiile de divergență între operatori, decizia instituie un grup independent, format dintr-un număr impar de membri, care emite o recomandare motivată în termen de trei luni.
Intrare în vigoare
Decizia produce efecte de la data notificării sale către destinatarii oficiali – autoritățile naționale competente din statele membre participante la MUS – și va fi reexaminată de Consiliul guvernatorilor BCE în cel mult cinci ani de la data intrării în vigoare.
