Décision32026D1942

Décision (UE) 2026/1942 de la Banque centrale européenne du 30 juillet 2026 concernant le traitement des données à caractère personnel dans le cadre de la surveillance prudentielle des établissements de crédit (BCE/2026/18)

CELEX32026D1942
TypeDécision
Datejeudi 30 juillet 2026

Texte intégral

European flag

Journal officiel
de l'Union européenne

FR

Série L


2026/1942

14.8.2026

DÉCISION (UE) 2026/1942 DE LA BANQUE CENTRALE EUROPÉENNE

du 30 juillet 2026

concernant le traitement des données à caractère personnel dans le cadre de la surveillance prudentielle des établissements de crédit (BCE/2026/18)

LE CONSEIL DES GOUVERNEURS DE LA BANQUE CENTRALE EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et en particulier son article 28,

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (2), et en particulier son article 26,

vu le règlement (UE) no 1024/2013 du Conseil du 15 octobre 2013 confiant à la Banque centrale européenne des missions spécifiques ayant trait aux politiques en matière de surveillance prudentielle des établissements de crédit (3), et en particulier son article 4, paragraphe 3, et son article 6, paragraphes 1 et 7,

considérant ce qui suit:

(1)

La Banque centrale européenne (BCE) et chaque autorité compétente nationale (ACN) forment ensemble le mécanisme de surveillance unique (MSU). La BCE et les ACN exercent des missions de surveillance relevant de la surveillance prudentielle des établissements de crédit, en vertu du règlement (UE) no 1024/2013. La BCE et les ACN peuvent traiter des données à caractère personnel lors de l’exercice de ces missions de surveillance prudentielle.

(2)

Lorsqu’elles traitent des données à caractère personnel dans l’exercice de leurs missions de surveillance prudentielle, la BCE et les ACN déterminent conjointement les finalités et les moyens du traitement. La détermination conjointe des finalités du traitement des données à caractère personnel résulte de l’organisation du travail au sein du MSU, qui entraîne une coopération entre la BCE et les ACN.

(3)

Par conséquent, il convient de considérer la BCE et chaque ACN comme des responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725, concernant la BCE, et de l’article 26, paragraphe 1, du règlement (UE) 2016/679, concernant les ACN, pour ce qui est des opérations de traitement de données à caractère personnel effectuées dans l’exercice des missions de surveillance prudentielle.

(4)

L’article 28, paragraphe 1, du règlement (UE) 2018/1725 et l’article 26, paragraphe 1, du règlement (UE) 2016/679 prévoient que les responsables conjoints du traitement doivent déterminer, par voie d’accord entre eux, leurs responsabilités respectives aux fins d’assurer le respect des obligations prévues, respectivement, par le règlement (UE) 2018/1725 et par le règlement (UE) 2016/679. Dans l’intérêt du fonctionnement efficace et cohérent du MSU, auquel la BCE est chargée de veiller en vertu de l’article 6, paragraphe 1, du règlement (UE) no 1024/2013, ainsi que de la transparence et de la sécurité juridique, il convient qu’un tel accord soit mis en place au moyen d’une décision de la BCE adoptée en consultation avec les ACN conformément à l’article 6, paragraphes 1 et 7, du règlement (UE) no 1024/2013.

(5)

Les responsables conjoints du traitement traitent en principe des données à caractère personnel aux fins des missions de surveillance prudentielle suivantes: a) procédures d’évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience (ci-après «procédures d’évaluation de l’honorabilité et des compétences») pour les entités importantes soumises à la surveillance prudentielle; b) procédures d’autorisation; c) surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle; d) procédures d’exécution et de sanction, à l’exception de certaines procédures particulières; e) inspections sur place des entités importantes soumises à la surveillance prudentielle; f) suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle; et g) surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle.

(6)

Il convient que chaque ACN soit l’unique responsable du traitement lorsque des données à caractère personnel sont traitées dans le cadre de procédures conduites au titre de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013 à compter du moment où la BCE notifie à l’ACN qu’elle lui demande d’engager une procédure; dans le cadre de procédures conduites au titre de l’article 136 du règlement (UE) no 468/2014 de la Banque centrale européenne (BCE/2014/17) (4) à compter du moment où la BCE notifie sa demande à l’ACN; et lorsqu’il existe, pour le traitement des données à caractère personnel, une autre base juridique que le règlement (UE) no 1024/2013. Pour tout traitement de données à caractère personnel en rapport avec des signalements de violation des dispositions du droit de l’Union ou du droit national relatives à la surveillance prudentielle des établissements de crédit, qui ont été transmis via le mécanisme de lancement d’alerte de la BCE ou d’une ACN, il convient que la BCE ou l’ACN, selon le cas, soit l’unique responsable du traitement.

(7)

Aux fins du respect de l’article 28, paragraphe 2, du règlement (UE) 2018/1725 et de l’article 26, paragraphe 2, du règlement (UE) 2016/679, il convient que la présente décision définisse les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées et régisse la manière dont ces responsables communiquent à celles-ci les grandes lignes de l’accord existant.

(8)

L’organisation du travail au sein du MSU est telle qu’en règle générale, seuls deux ou plusieurs responsables conjoints du traitement exercent une mission de surveillance prudentielle à l’égard d’une entité soumise à la surveillance prudentielle et effectuent les opérations y afférentes de traitement de données à caractère personnel. Par conséquent, il convient de prendre en considération, lors de la détermination des responsabilités respectives des responsables conjoints du traitement effectuée conformément à l’article 28, paragraphe 1, du règlement (UE) 2018/1725 ou à l’article 26, paragraphe 1, du règlement (UE) 2016/679, quels sont les responsables conjoints du traitement qui exercent la mission de surveillance prudentielle particulière concernant l’entité soumise à la surveillance prudentielle. Cette approche, visant à déterminer les responsabilités respectives des responsables conjoints du traitement, présente un intérêt particulier dans le cadre de la fourniture d’informations aux personnes concernées, du traitement des demandes des personnes concernées et de la notification, aux autorités de contrôle, des violations de données à caractère personnel relatives aux données traitées par le responsable conjoint du traitement effectuant la notification.

(9)

Les violations de données à caractère personnel devraient être gérées par le responsable conjoint du traitement compétent. Dans le cas peu probable où celui-ci ne peut être déterminé rapidement, tous les responsables conjoints du traitement devraient être chargés de gérer la violation de données à caractère personnel. Dans ce cas, il convient que tous les responsables conjoints du traitement se coordonnent en vue de s’acquitter de leurs obligations de notification respectives à l’égard de l’autorité de contrôle et de leurs obligations en matière de communication à l’égard de la personne concernée au titre du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679. Lorsqu’une violation de données à caractère personnel est communiquée à la personne concernée, cela doit être fait de façon efficace afin d’éviter des communications multiples ou contradictoires. Il convient que la BCE notifie toute violation de données à caractère personnel au Contrôleur européen de la protection des données, à moins qu’il soit peu probable que la violation en question engendre un risque pour les droits et libertés des personnes physiques.

(10)

Il convient que chaque responsable conjoint du traitement reste individuellement responsable de la tenue d’un registre des activités de traitement qui relèvent de sa responsabilité; de la définition des périodes pendant lesquelles les données à caractère personnel seront conservées; de la décision de restreindre l’application des droits des personnes concernées, lorsque cela est nécessaire et proportionné, ou d’appliquer des exceptions prévues par l’article 16, paragraphe 5, du règlement (UE) 2018/1725 ou par l’article 14, paragraphe 5, du règlement (UE) 2016/679; de la détermination et de l’évaluation de la licéité, la nécessité et la proportionnalité des transferts de données à caractère personnel vers un pays tiers ou une organisation internationale; et du recours à des sous-traitants qui traitent des données à caractère personnel en son nom.

(11)

Les responsables conjoints du traitement sont responsables des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, conformément, respectivement, à l’article 65 du règlement (UE) 2018/1725 en ce qui concerne la BCE et à l’article 82 du règlement (UE) 2016/679 en ce qui concerne chaque ACN. Chaque responsable conjoint du traitement est conjointement et solidairement responsable à l’égard des personnes concernées, et il convient donc de réglementer la façon dont les versements à titre de réparation sont répartis entre les responsables conjoints du traitement.

(12)

La présente décision ne devrait pas avoir d’incidence sur l’applicabilité d’autres actes juridiques de l’Union qui prévoient des règles en matière de transmission d’informations prudentielles, détenues par la BCE, à des institutions et organes de l’Union ainsi qu’à des juridictions et autorités nationales et internationales,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d’application

1. La présente décision définit la manière dont les rôles et responsabilités respectifs sont répartis entre les responsables conjoints du traitement, qui sont la BCE et les ACN, aux fins du respect du règlement (UE) 2018/1725 en ce qui concerne la BCE et du règlement (UE) 2016/679 en ce qui concerne les ACN, lorsque des données à caractère personnel sont traitées dans l’exercice des missions de surveillance prudentielle énumérées au paragraphe 2.

2. La présente décision s’applique au traitement de données à caractère personnel effectué lors de l’exercice des missions de surveillance prudentielle suivantes:

a)

procédures d’évaluation de l’honorabilité et des compétences pour les entités importantes soumises à la surveillance prudentielle;

b)

procédures d’autorisation;

c)

surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle;

d)

procédures d’exécution et de sanction, à l’exclusion du traitement de données à caractère personnel par des ACN agissant en vertu de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013 à compter du moment où la BCE notifie à l’ACN qu’elle lui demande d’engager une procédure, et procédures conduites au titre de l’article 136 du règlement (UE) no 468/2014 (BCE/2014/17) à compter du moment où la BCE notifie sa demande à l’ACN;

e)

inspections sur place des entités importantes soumises à la surveillance prudentielle;

f)

suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle;

g)

surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle.

Pour chaque mission de surveillance prudentielle, l’objet, la nature et la finalité du traitement, la base juridique du traitement, les personnes concernées et les catégories de données à caractère personnel traitées sont énoncés dans les annexes.

3. La présente décision ne s’applique pas au traitement de données à caractère personnel en rapport avec des signalements de violations de dispositions du droit de l’Union ou du droit national relatives à la surveillance prudentielle des établissements de crédit, transmis via le mécanisme de lancement d’alerte de la BCE ou d’une ACN. Elle ne s’applique pas non plus lorsque les ACN traitent des données à caractère personnel en vertu d’une autre base juridique que le règlement (UE) no 1024/2013.

4. La présente décision est sans préjudice d’autres actes juridiques de l’Union qui prévoient des règles en matière de transmission d’informations prudentielles, détenues par la BCE, à des institutions et organes de l’Union ainsi qu’à des juridictions et autorités nationales et internationales.

Article 2

Définitions

Aux fins de la présente décision, les définitions énoncées dans le règlement (UE) no 1024/2013 et le règlement (UE) no 468/2014 (BCE/2014/17) s’appliquent, sauf disposition contraire, conjointement avec les définitions suivantes. On entend par:

1) «traitement», un traitement au sens de l’article 3, point 3), du règlement (UE) 2018/1725 ou de l’article 4, point 2), du règlement (UE) 2016/679;

2) «données à caractère personnel», les données à caractère personnel au sens de l’article 3, point 1), du règlement (UE) 2018/1725 ou de l’article 4, point 1), du règlement (UE) 2016/679;

3) «autorité compétente nationale» (ACN), une autorité compétente nationale au sens de l’article 2, point 9, du règlement (UE) no 468/2014 (BCE/2014/17);

4) «mission de surveillance prudentielle», une mission confiée à la BCE en vertu de l’article 4, paragraphes 1 et 2, du règlement (UE) no 1024/2013 et accomplie dans le cadre de l’article 6 de ce même règlement;

5) «responsable du traitement», un responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725 ou de l’article 4, point 7), du règlement (UE) 2016/679;

6) «responsable conjoint du traitement», un responsable conjoint du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725 ou de l’article 26, paragraphe 1, du règlement (UE) 2016/679;

7) «sous-traitant», un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 ou de l’article 4, point 8), du règlement (UE) 2016/679;

8) «institutions et organes de l’Union», les institutions et organes de l’Union au sens de l’article 3, point 10), du règlement (UE) 2018/1725;

9) «avis relatif à la protection des données», un document par lequel les personnes concernées reçoivent des informations conformément à l’article 15 ou 16 du règlement (UE) 2018/1725 ou à l’article 13 ou 14 du règlement (UE) 2016/679;

10) «demande d’une personne concernée», une demande adressée par une personne concernée à un ou plusieurs responsables conjoints du traitement, par laquelle la personne concernée exerce l’un des droits qui lui sont conférés par le chapitre III du règlement (UE) 2018/1725 ou le chapitre III du règlement (UE) 2016/679;

11) «violation de données à caractère personnel», une violation de données à caractère personnel au sens de l’article 3, point 16), du règlement (UE) 2018/1725 ou de l’article 4, point 12), du règlement (UE) 2016/679;

12) «autorité de contrôle», une autorité de contrôle nationale au sens de l’article 3, point 22), du règlement (UE) 2018/1725, une autorité de contrôle au sens de l’article 4, point 21), du règlement (UE) 2016/679 ou le Contrôleur européen de la protection des données;

13) «État membre d’origine», l’État membre dans lequel un établissement de crédit a été agréé;

14) «État membre d’accueil», l’État membre dans lequel un établissement de crédit a une succursale ou fournit des services.

Article 3

Fourniture d’informations à la personne concernée

1. Le responsable conjoint du traitement qui commence le traitement de données à caractère personnel, ce qui comprend la collecte de ces données, fournit à la personne concernée les informations requises, respectivement, par les articles 15 et 16 du règlement (UE) 2018/1725 ou les articles 13 et 14 du règlement (UE) 2016/679, ainsi que par l’article 28, paragraphe 2, deuxième phrase, du règlement (UE) 2018/1725 ou l’article 26, paragraphe 2, deuxième phrase, du règlement (UE) 2016/679. Ce responsable conjoint du traitement est:

a)

pour les données à caractère personnel transmises par l’intermédiaire du portail Information Management System (IMAS), la BCE;

b)

pour les données à caractère personnel reçues dans tous les autres cas:

i)

pour les procédures d’évaluation de l’honorabilité et des compétences concernant les entités importantes soumises à la surveillance prudentielle, l’ACN concernée conformément aux articles 93 et 94 du règlement (UE) no 468/2014 (BCE/2014/17);

ii)

pour les procédures d’autorisation:

1)

en cas d’octroi d’agrément, l’ACN qui reçoit la demande d’agrément pour l’accès à l’activité d’établissement de crédit conformément à l’article 14, paragraphe 1, du règlement (UE) no 1024/2013;

2)

en cas de participations qualifiées, l’ACN qui reçoit la notification ou toute information y relative conformément à l’article 15, paragraphe 1, du règlement (UE) no 1024/2013;

3)

en cas de procédures engagées par une ACN en vue du retrait d’un agrément pour l’accès à l’activité d’établissement de crédit, y compris un retrait à la demande de l’établissement de crédit, conformément à l’article 80 du règlement (UE) no 468/2014 (BCE/2014/17), l’ACN concernée;

4)

en cas de procédures engagées par la BCE en vue du retrait d’un agrément pour l’accès à l’activité d’établissement de crédit, la BCE;

5)

en cas d’établissement d’une succursale par une entité importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine conformément à l’article 11 du règlement (UE) no 468/2014 (BCE/2014/17);

6)

en cas de notification d’une modification de la prestation de services par une entité importante soumise à la surveillance prudentielle ou une entité moins importante soumise à la surveillance prudentielle; de notification d’une modification des renseignements concernant une succursale par une entité importante soumise à la surveillance prudentielle ou une entité moins importante soumise à la surveillance prudentielle; ou d’établissement d’une succursale par une entité moins importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine;

7)

en cas d’établissement d’une succursale dans un État membre participant par un établissement de crédit établi dans un État membre non participant, l’ACN de l’État membre d’accueil;

8)

en cas de prestation de services en dehors des États membres participants par une entité importante soumise à la surveillance prudentielle ou par une entité moins importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine;

9)

en cas de prestation de services dans un État membre participant par un établissement de crédit établi dans un État membre non participant, l’ACN de l’État membre d’accueil;

10)

en cas d’approbation ou d’exemption d’approbation de compagnies financières holding (mixtes) comprenant des entités importantes soumises à la surveillance prudentielle ou des groupes importants soumis à la surveillance prudentielle, la BCE;

11)

en cas d’approbation ou d’exemption d’approbation de compagnies financières holding (mixtes) comprenant des entités moins importantes soumises à la surveillance prudentielle ou des groupes moins importants soumis à la surveillance prudentielle, l’ACN qui reçoit la demande conformément à l’article 21 bis de la directive 2013/36/UE du Parlement européen et du Conseil (5);

12)

en cas de fusions réalisées par des établissements et par des compagnies financières holding (mixtes) lorsque les entités résultant de l’opération envisagée sont des entités importantes soumises à la surveillance prudentielle, la BCE;

13)

en cas de fusions réalisées par des établissements et par des compagnies financières holding (mixtes) lorsque les entités résultant de l’opération envisagée sont des entités moins importantes soumises à la surveillance prudentielle, l’ACN qui reçoit la notification conformément à l’article 27 decies, paragraphe 1, premier alinéa, de la directive 2013/36/UE;

14)

en cas de scissions réalisées par des établissements et par des compagnies financières holding (mixtes) qui sont des entités importantes soumises à la surveillance prudentielle, la BCE;

15)

en cas de scissions réalisées par des établissements et par des compagnies financières holding (mixtes) qui sont des entités moins importantes soumises à la surveillance prudentielle, l’ACN qui reçoit la notification conformément à l’article 27 decies, paragraphe 1, deuxième alinéa, de la directive 2013/36/UE;

iii)

pour la surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle, la BCE;

iv)

pour les procédures d’exécution et de sanction, la BCE;

v)

pour les inspections sur place des entités importantes soumises à la surveillance prudentielle, la BCE;

vi)

pour le suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, la BCE;

vii)

pour la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle:

1)

l’ACN de l’État membre d’origine; ou

2)

lorsque la BCE exerce elle-même directement toutes les compétences pertinentes à l’égard d’une entité moins importante soumise à la surveillance prudentielle en vertu de l’article 6, paragraphe 5, point b), du règlement (UE) no 1024/2013, la BCE.

2. Chaque responsable conjoint du traitement publie un avis relatif à la protection des données sur son site internet, en plus de se conformer à l’obligation visée au paragraphe 1.

3. Les responsables conjoints du traitement se coordonnent à propos des informations à fournir à la personne concernée et s’accordent sur le contenu cohérent, voire identique, de ces informations, en vertu, respectivement, de l’article 28, paragraphe 2, deuxième phrase, du règlement (UE) 2018/1725 et de l’article 26, paragraphe 2, deuxième phrase, du règlement (UE) 2016/679.

Article 4

Traitement des demandes des personnes concernées

1. Les personnes concernées peuvent exercer leurs droits au titre du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, selon le cas, à l’égard et à l’encontre de chacun des responsables conjoints du traitement. Chaque responsable conjoint du traitement publie, dans son avis relatif à la protection des données figurant sur son site internet, son point de contact et le point de contact de chacun des autres responsables conjoints du traitement.

2. Le responsable conjoint du traitement chargé de traiter la demande de la personne concernée est:

a)

pour les procédures d’évaluation de l’honorabilité et des compétences concernant des entités importantes soumises à la surveillance prudentielle, l’ACN concernée conformément aux articles 93 et 94 du règlement (UE) no 468/2014 (BCE/2014/17) jusqu’à ce que l’évaluation à effectuer dans le cadre de la procédure d’évaluation de l’honorabilité et des compétences soit confiée à la BCE, et la BCE ensuite;

b)

pour les procédures d’autorisation:

i)

en cas d’octroi d’agrément, l’ACN qui reçoit la demande d’agrément pour l’accès à l’activité d’établissement de crédit conformément à l’article 14, paragraphe 1, du règlement (UE) no 1024/2013 jusqu’à ce que le projet de décision élaboré par l’ACN soit notifié à la BCE, et la BCE ensuite;

ii)

en cas de participations qualifiées, l’ACN qui reçoit la notification ou toute information y relative conformément à l’article 15, paragraphe 1, du règlement (UE) no 1024/2013 jusqu’à ce que le projet de proposition de décision de l’ACN de s’opposer ou non à l’acquisition soit soumis à la BCE, et la BCE ensuite;

iii)

en cas de procédures engagées par une ACN en vue du retrait d’un agrément pour l’accès à l’activité d’établissement de crédit, y compris un retrait à la demande de l’établissement de crédit, conformément à l’article 80 du règlement (UE) no 468/2014 (BCE/2014/17), l’ACN concernée jusqu’à ce que le projet de décision de retrait élaboré par l’ACN soit soumis à la BCE, et la BCE ensuite;

iv)

en cas de procédures engagées par la BCE en vue du retrait d’un agrément pour l’accès à l’activité d’établissement de crédit, la BCE;

v)

en cas d’établissement d’une succursale par une entité importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine, conformément à l’article 11 du règlement (UE) no 468/2014 (BCE/2014/17), jusqu’à ce que l’ouverture de la procédure d’octroi de passeport soit notifiée à la BCE, et la BCE ensuite;

vi)

en cas de notification d’une modification de la prestation de services par une entité importante soumise à la surveillance prudentielle ou une entité moins importante soumise à la surveillance prudentielle; de notification d’une modification des renseignements concernant une succursale par une entité importante soumise à la surveillance prudentielle ou une entité moins importante soumise à la surveillance prudentielle; ou d’établissement d’une succursale par une entité moins importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine jusqu’à ce que l’ouverture de la procédure d’octroi de passeport soit notifiée à la BCE, et la BCE ensuite;

vii)

en cas d’établissement d’une succursale dans un État membre participant par un établissement de crédit établi dans un État membre non participant, l’ACN de l’État membre d’accueil jusqu’à ce que l’ouverture de la procédure d’octroi de passeport soit notifiée à la BCE, et la BCE ensuite;

viii)

en cas de prestation de services en dehors des États membres participants par une entité importante soumise à la surveillance prudentielle ou par une entité moins importante soumise à la surveillance prudentielle, l’ACN de l’État membre d’origine jusqu’à ce que l’ouverture de la procédure d’octroi de passeport soit notifiée à la BCE, et la BCE ensuite;

ix)

en cas de prestation de services dans un État membre participant par un établissement de crédit établi dans un État membre non participant, l’ACN de l’État membre d’accueil jusqu’à ce que l’ouverture de la procédure d’octroi de passeport soit notifiée à la BCE, et la BCE ensuite;

x)

en cas d’approbation ou d’exemption d’approbation de compagnies financières holding (mixtes) comprenant des entités importantes soumises à la surveillance prudentielle ou des groupes importants soumis à la surveillance prudentielle, la BCE;

xi)

en cas d’approbation ou d’exemption d’approbation de compagnies financières holding (mixtes) comprenant des entités moins importantes soumises à la surveillance prudentielle, ou des groupes moins importants soumis à la surveillance prudentielle, l’ACN qui reçoit la demande conformément à l’article 21 bis de la directive 2013/36/UE;

xii)

en cas de fusions réalisées par des établissements et par des compagnies financières holding (mixtes) lorsque les entités résultant de l’opération envisagée sont des entités importantes soumises à la surveillance prudentielle, la BCE;

xiii)

en cas de fusions réalisées par des établissements et par des compagnies financières holding (mixtes) lorsque les entités résultant de l’opération envisagée sont des entités moins importantes soumises à la surveillance prudentielle, l’ACN qui reçoit la notification conformément à l’article 27 decies, paragraphe 1, premier alinéa, de la directive 2013/36/UE;

xiv)

en cas de scissions réalisées par des établissements et par des compagnies financières holding (mixtes) qui sont des entités importantes soumises à la surveillance prudentielle, la BCE;

xv)

en cas de scissions réalisées par des établissements et par des compagnies financières holding (mixtes) qui sont des entités moins importantes soumises à la surveillance prudentielle, l’ACN qui reçoit la notification conformément à l’article 27 decies, paragraphe 1, deuxième alinéa, de la directive 2013/36/UE;

c)

pour la surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle, la BCE;

d)

pour les procédures d’exécution et de sanction, la BCE;

e)

pour les inspections sur place des entités importantes soumises à la surveillance prudentielle, la BCE;

f)

pour le suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, la BCE;

g)

pour la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle:

i)

l’ACN de l’État membre d’origine; ou

ii)

lorsque la BCE exerce elle-même directement toutes les compétences pertinentes à l’égard d’une entité moins importante soumise à la surveillance prudentielle en vertu de l’article 6, paragraphe 5, point b), du règlement (UE) no 1024/2013, la BCE.

3. À la demande du responsable conjoint du traitement compétent en vertu du paragraphe 2, un responsable conjoint du traitement prête à ce dernier une assistance rapide et efficace pour le traitement de toute demande d’une personne concernée, conformément à la procédure prévue au paragraphe 4.

4. Les règles suivantes s’appliquent au traitement des demandes des personnes concernées:

a)

le responsable conjoint du traitement qui reçoit la demande de la personne concernée envoie un accusé de réception à cette dernière dans les meilleurs délais. Si la demande de la personne concernée ne relève pas de sa responsabilité, telle que déterminée conformément au paragraphe 2, le responsable conjoint du traitement qui reçoit ladite demande la transmet au responsable conjoint du traitement effectivement chargé de traiter cette demande en vertu du paragraphe 2;

b)

si le responsable conjoint du traitement auquel la demande de la personne concernée a été transmise confirme qu’il est le responsable conjoint du traitement compétent pour traiter cette demande en vertu du paragraphe 2, le responsable conjoint du traitement qui a reçu la demande de la personne concernée informe cette dernière de la transmission de sa demande à ce responsable conjoint du traitement;

c)

en cas de désaccord sur la question de savoir quel responsable conjoint du traitement est compétent en vertu du paragraphe 2, celui-ci est réglé lors d’une réunion organisée entre le responsable conjoint du traitement qui a reçu la demande de la personne concernée, le responsable conjoint du traitement auquel cette demande a été transmise et tout autre responsable conjoint du traitement que ce dernier considère comme compétent en vertu du paragraphe 2. À la suite de cette réunion, le responsable conjoint du traitement qui a reçu la demande de la personne concernée informe cette dernière de la transmission de sa demande au responsable conjoint du traitement qui a confirmé être compétent en vertu du paragraphe 2. Si le responsable conjoint du traitement qui reçoit la demande de la personne concernée est le responsable conjoint du traitement compétent en vertu du paragraphe 2, mais que la demande de la personne concernée porte également sur d’autres missions de surveillance prudentielle visées au paragraphe 2, points a) à g), il demande l’assistance d’un ou de plusieurs autres responsables conjoints du traitement conformément au paragraphe 3;

d)

le responsable conjoint du traitement compétent en vertu du paragraphe 2 envoie la réponse finale à la personne concernée, après avoir intégré les informations fournies par tout autre responsable conjoint du traitement déterminé en vertu du point c), le cas échéant.

Article 5

Procédure relative aux violations de données à caractère personnel

1. Un responsable conjoint du traitement qui a connaissance d’une violation de données à caractère personnel notifie celle-ci à tous les autres responsables conjoints du traitement dans les meilleurs délais, et au plus tard dans les 24 heures après en avoir eu connaissance.

2. Le responsable conjoint du traitement à l’origine de la violation de données à caractère personnel ou auquel cette violation est imputable, y compris les violations causées par ses sous-traitants ou sous-traitants ultérieurs, ou imputables à ceux-ci, est chargé de gérer ladite violation conformément, respectivement, au règlement (UE) 2018/1725 ou au règlement (UE) 2016/679. S’il n’est pas possible de déterminer quel responsable conjoint du traitement est compétent dans un délai de 24 heures à compter de la réception de la notification visée au paragraphe 1, tous les responsables conjoints du traitement sont alors chargés de gérer la violation de données à caractère personnel.

3. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 est, en particulier, tenu de notifier la violation de données à caractère personnel à son autorité de contrôle et d’en informer la personne concernée, le cas échéant. Même si la BCE n’est pas le responsable conjoint du traitement compétent, elle notifie également la violation de données à caractère personnel au Contrôleur européen de la protection des données, à moins qu’il soit peu probable que la violation en question engendre un risque pour les droits et libertés des personnes physiques.

4. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 informe, dans les meilleurs délais, tous les autres responsables conjoints du traitement: a) des mesures qu’il a appliquées pour atténuer les risques découlant de cette violation; et b) si celle-ci a été ou sera notifiée à l’autorité de contrôle et communiquée à la personne concernée.

Article 6

Sécurité du traitement

1. Conformément, respectivement, à l’article 33 du règlement (UE) 2018/1725 et à l’article 32 du règlement (UE) 2016/679, les responsables conjoints du traitement mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données à caractère personnel traitées. Lorsqu’ils évaluent le niveau de sécurité adapté, les responsables conjoints du traitement tiennent compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques encourus par les personnes concernées.

2. Chaque responsable conjoint du traitement qui assure la maintenance et l’administration d’un système informatique utilisé pour le traitement de données à caractère personnel arrête et met en œuvre les mesures techniques et organisationnelles appropriées pour ce système, ou veille à ce que le sous-traitant arrête et mette en œuvre ces mesures.

3. Les responsables conjoints du traitement n’accordent l’accès aux données à caractère personnel traitées dans le cadre de la présente décision qu’aux personnes physiques agissant sous leur autorité et uniquement dans la mesure où cela est nécessaire aux finalités du traitement énoncées dans les annexes.

4. Les responsables conjoints du traitement veillent à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Article 7

Analyses d’impact relatives à la protection des données

1. Les responsables conjoints du traitement conviennent si une analyse d’impact relative à la protection des données est nécessaire et déterminent lequel d’entre eux élabore le projet d’une telle analyse.

2. Une analyse d’impact relative à la protection des données ne peut être considérée comme finale que si elle a été approuvée par tous les responsables conjoints du traitement.

3. Lorsque cela est justifié, par exemple lorsque les responsables conjoints du traitement ne participent pas aux mêmes étapes d’une opération de traitement, ils effectuent une analyse d’impact relative à la protection des données distincte pour l’étape particulière de l’opération de traitement à laquelle ils participent.

4. Lorsqu’il ressort d’une analyse d’impact relative à la protection des données que, en l’absence de garanties, de mesures de sécurité et de mécanismes pour atténuer le risque, le traitement engendrerait un risque élevé pour les droits et libertés des personnes physiques et que le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1 est d’avis que le risque ne peut être atténué par des moyens raisonnables compte tenu des techniques disponibles et des coûts de mise en œuvre, ledit responsable consulte son autorité de contrôle. Dans un tel cas, la BCE consulte également le Contrôleur européen de la protection des données conformément à l’article 40 du règlement (UE) 2018/1725, même si elle n’est pas le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1.

Article 8

Autres responsabilités des responsables conjoints du traitement

1. Sans préjudice des obligations auxquelles les responsables conjoints du traitement sont soumis en vertu du règlement (UE) 2018/1725, du règlement (UE) 2016/679 ou du droit national, chaque responsable conjoint du traitement est chargé des actions suivantes:

a)

définir les durées pendant lesquelles les données à caractère personnel seront conservées conformément à la législation applicable en matière de protection des données;

b)

décider de limiter l’application des droits des personnes concernées, lorsque cela est nécessaire et proportionné, conformément aux règles applicables en matière de protection des données, y compris les règles internes adoptées par un responsable conjoint du traitement ou la législation nationale dans le respect, respectivement, du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, ou d’appliquer toute exception prévue, respectivement, par l’article 16, paragraphe 5, du règlement (UE) 2018/1725 ou par l’article 14, paragraphe 5, du règlement (UE) 2016/679;

c)

déterminer et évaluer la licéité, la nécessité et la proportionnalité des transferts de données à caractère personnel vers un pays tiers ou une organisation internationale et respecter les obligations qui lui incombent en vertu, respectivement, du chapitre V du règlement (UE) 2018/1725 ou du chapitre V du règlement (UE) 2016/679;

d)

faire uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, conformément, respectivement, à l’article 29 du règlement (UE) 2018/1725 et à l’article 28 du règlement (UE) 2016/679;

e)

fournir aux autres responsables conjoints du traitement une liste des sous-traitants auxquels il fait appel pour traiter les données à caractère personnel dans l’exercice des missions de surveillance prudentielle énumérées à l’article 1er, paragraphe 2.

2. Les responsables conjoints du traitement se notifient mutuellement toute information pertinente relative au respect des obligations énoncées au paragraphe 1, tout en tenant dûment compte du régime de confidentialité applicable.

Article 9

Conformité et documentation

1. Chacun des responsables conjoints du traitement respecte les principes généraux de la protection des données énoncés, respectivement, à l’article 4 du règlement (UE) 2018/1725 ou à l’article 5 du règlement (UE) 2016/679.

2. Chaque responsable conjoint du traitement tient un registre consignant les activités de traitement relevant de sa responsabilité et conserve les informations nécessaires pour attester de son respect de la présente décision.

Article 10

Coopération entre les responsables conjoints du traitement

Les responsables conjoints du traitement se prêtent mutuellement l’assistance nécessaire pour que chacun d’entre eux puisse se conformer aux exigences, respectivement, du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, ainsi qu’à la présente décision, dans un laps de temps compatible avec les exigences énoncées dans lesdits règlements.

Article 11

Répartition des versements à titre de réparation

Les responsables conjoints du traitement s’acquittent les uns envers les autres de tout versement à titre de réparation effectué par l’un (ou plusieurs) d’entre eux pour des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, en fonction du degré réel de responsabilité. Si un responsable conjoint du traitement prouve qu’il n’est nullement responsable d’un fait ayant entraîné un préjudice, il est dispensé d’un tel acquittement envers les autres responsables conjoints du traitement et a le droit de recouvrer, auprès du responsable conjoint du traitement dont la responsabilité est effectivement engagée, tout montant qu’il a versé aux fins de la réparation en question.

Article 12

Règlement des différends

1. En cas de différend concernant l’acquittement des versements à titre de réparation effectués par l’un des responsables conjoints du traitement pour des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, un comité indépendant est mis en place pour faciliter la résolution du différend.

2. Tout responsable conjoint du traitement peut notifier un différend à un ou plusieurs responsables conjoints du traitement et nommer un membre du comité. Chaque responsable conjoint du traitement ayant été notifié nomme son membre du comité dans un délai de deux semaines à compter de la date de réception de la notification. Le responsable conjoint du traitement qui a notifié le différend et les responsables conjoints du traitement qui ont été notifiés sont considérés comme des parties au différend.

3. Le comité indépendant compte un nombre impair de membres et se compose des membres nommés en vertu du paragraphe 2 et d’un ou de deux membres nommés conjointement par ces derniers. Le ou les membres du comité nommés conjointement assurent la présidence, ou respectivement la présidence et la vice-présidence en fonction de leur ancienneté, et ils sont rémunérés par une contribution financière égale versée par toutes les parties au différend. Le ou les membres du comité nommés conjointement sont indépendants vis-à-vis des parties au différend. La personne assurant la présidence notifie la composition définitive du comité au président ou à la présidente de la BCE.

4. Le comité indépendant travaille conformément aux principes d’impartialité et d’égalité et au droit d’être entendu.

5. Le comité indépendant s’efforce de rendre, dans un délai de trois mois à compter de la date de notification de sa composition définitive au président ou à la présidente de la BCE, une recommandation motivée sur la résolution du différend. Cette recommandation n’est pas contraignante pour les parties au différend et peut être présentée comme élément de preuve dans le cadre d’une procédure judiciaire.

Article 13

Réexamen

Afin de garantir que les responsables conjoints du traitement déterminent de façon efficace leurs responsabilités en ce qui concerne le respect des obligations prévues respectivement par le règlement (UE) 2018/1725 et par le règlement (UE) 2016/679, le conseil des gouverneurs réexamine les accords prévus dans la présente décision au plus tard cinq ans après la date à laquelle la présente décision prend effet.

Article 14

Prise d’effet

La présente décision prend effet le jour de sa notification aux destinataires.

Article 15

Destinataires

Les autorités compétentes nationales des États membres participants sont destinataires de la présente décision.

Fait à Francfort-sur-le-Main, le 30 juillet 2026.

La présidente de la BCE

Christine LAGARDE


(1) JO L 295 du 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.

(2) JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.

(3) JO L 287 du 29.10.2013, p. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj.

(4) Règlement (UE) no 468/2014 de la Banque centrale européenne du 16 avril 2014, établissant le cadre de la coopération au sein du mécanisme de surveillance unique entre la Banque centrale européenne, les autorités compétentes nationales et les autorités désignées nationales (le «règlement-cadre MSU») (BCE/2014/17) (JO L 141 du 14.5.2014, p. 1, ELI: http://data.europa.eu/eli/reg/2014/468/oj).

(5) Directive 2013/36/UE du parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE (JO L 176 du 27.6.2013, p. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).


ANNEXE I

Évaluations de l’honorabilité, des connaissances, des compétences et de l’expérience

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

La BCE, en coopération avec les ACN, procède à des évaluations et à des réévaluations de l’aptitude des personnes nommées à des postes de responsabilité pour la direction et la surveillance d’entités importantes soumises à la surveillance prudentielle, telles que les membres de l’organe de direction et les titulaires de postes-clés, ainsi que les titulaires d’autres postes indiqués dans les dispositions de droit national transposant la directive 2013/36/UE, les directeur(trice)s de succursales et certaines autres personnes chargées de la direction d’entités importantes soumises à la surveillance prudentielle ou de leurs succursales (ci-après la «procédure d’évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience» ou «procédure d’évaluation de l’honorabilité et des compétences»).

Dans le cadre des procédures d’évaluation de l’honorabilité et des compétences, les données à caractère personnel sont traitées aux fins suivantes:

a)

évaluer si les personnes nommées remplissent les critères d’honorabilité, de connaissances, de compétences et d’expérience;

b)

procéder à des réévaluations pour s’assurer que les exigences d’honorabilité, de connaissances, de compétences et d’expérience sont respectées de manière continue et, si ces exigences ne sont pas respectées, démettre de leurs fonctions les membres concernés de l’organe de direction de l’entité importante soumise à la surveillance prudentielle;

c)

évaluer les demandes d’autorisation d’exercice de fonctions de direction non exécutives supplémentaires émanant de membres de l’organe de direction ainsi que les demandes d’autorisation visant à occuper simultanément, au sein de l’entité importante soumise à la surveillance prudentielle, le poste de président(e) de l’organe de direction dans sa fonction de surveillance et le poste de directeur(trice) général(e);

d)

réaliser des recherches quantitatives, des analyses et des rapports statistiques à un niveau agrégé.

2. BASE JURIDIQUE

a)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, point e), et les articles 6, 7, 8, 9 et 10 du règlement (UE) no 1024/2013.

b)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec la directive 2013/36/UE, telle que transposée en droit national.

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les personnes nommées qui sont soumises à une évaluation dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

b)

les proches d’une personne nommée, tels que le ou la conjoint(e), partenaire enregistré(e), concubin(e), enfant, parent ou toute autre personne avec laquelle la personne nommée partage un logement;

c)

les associés d’une personne nommée dont les données à caractère personnel sont pertinentes pour l’évaluation de celle-ci, tels que les personnes qui occupent des postes de direction au sein de l’entité soumise à la surveillance prudentielle dans laquelle la nomination est effectuée ou qui en sont les bénéficiaires effectifs;

d)

les représentants autorisés d’une personne nommée dans le cadre de la procédure d’évaluation de l’honorabilité et des compétences.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature de la personne nommée;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone de la personne nommée;

c)

les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination;

d)

les données professionnelles relatives à toute autre activité professionnelle de la personne nommée;

e)

le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues;

f)

les données financières de la personne nommée;

g)

la description des relations personnelles des proches de la personne nommée avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales;

h)

les informations indiquant si une évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation;

i)

les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours;

j)

les informations, concernant la conduite observée par la personne nommée dans ses fonctions actuelles, qui peuvent présenter un intérêt dans le cadre des réévaluations;

k)

les enregistrements sonores de la voix de la personne nommée.


ANNEXE II

Procédures d’autorisation

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

La BCE, en coopération avec les ACN, procède à des évaluations dans le cadre de procédures d’autorisation, comprenant l’acquisition de participations qualifiées, l’octroi et le retrait d’agréments pour l’accès à l’activité d’établissement de crédit, le droit d’établissement et la liberté de prestation de services des entités soumises à la surveillance prudentielle, les approbations ou exemptions d’approbation de compagnies financières holding (mixtes) comprenant des entités importantes soumises à la surveillance prudentielle ou des groupes importants soumis à la surveillance prudentielle, ainsi que les fusions et scissions faisant l’objet d’une notification.

Dans le cadre de chacune des procédures d’autorisation concernées, les données à caractère personnel sont traitées aux fins suivantes:

a)

octroi d’agréments pour l’accès à l’activité d’établissement de crédit: évaluer si le demandeur d’un agrément satisfait aux exigences applicables du droit national et du droit de l’Union, ce qui peut inclure l’évaluation de l’organisation structurelle, des évaluations de l’honorabilité et des compétences des membres de l’organe de direction et des titulaires de postes-clés, ainsi que l’analyse de l’aptitude des actionnaires ou associés du demandeur;

b)

participations qualifiées: vérifier la solidité financière de l’acquisition envisagée et le caractère approprié du candidat acquéreur;

c)

retraits d’agréments pour l’accès à l’activité d’établissement de crédit: évaluer si une entité soumise à la surveillance prudentielle remplit les conditions de retrait d’un agrément en vertu du droit national et du droit de l’Union;

d)

droit d’établissement et liberté de prestation de services des entités soumises à la surveillance prudentielle: évaluer la conformité aux exigences applicables du droit national et du droit de l’Union de l’établissement d’une succursale ou de la prestation de services par des entités importantes soumises à la surveillance prudentielle et des entités moins importantes soumises à la surveillance prudentielle, de l’établissement d’une succursale dans un État membre participant par un établissement de crédit établi dans un État membre non participant, de la prestation de services en dehors des États membres participants par une entité importante ou une entité moins importante soumise à la surveillance prudentielle, de la prestation de services dans un État membre participant par un établissement de crédit établi dans un État membre non participant, et des modifications des renseignements concernant une succursale ou des modifications de la prestation de services effectuée par des entités importantes soumises à la surveillance prudentielle ou des entités moins importantes soumises à la surveillance prudentielle;

e)

approbations ou exemptions d’approbation de compagnies financières holding (mixtes): évaluer si les critères énoncés dans le droit national et le droit de l’Union applicables pour l’octroi d’une approbation ou d’une exemption d’approbation d’une compagnie financière holding (mixte) sont remplis, y compris l’évaluation des dispositifs internes et de la structure d’organisation du groupe dont la compagnie financière holding (mixte) fait partie, ainsi que la répartition interne des tâches au sein de ce groupe, et l’aptitude des membres de l’organe de direction et des actionnaires (ou des associés) de la compagnie financière holding (mixte).

f)

fusions et scissions réalisées par des établissements et par des compagnies financières holding (mixtes): évaluer si les critères énoncés dans le droit national et le droit de l’Union applicables à l’approbation des fusions et scissions sont remplis, y compris l’évaluation de la réputation et de la solidité financière des parties prenantes financières participant à l’opération envisagée et si l’entité résultant de celle-ci sera en mesure de se conformer et de continuer à se conformer aux exigences prudentielles.

2. BASE JURIDIQUE

a)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points a), b), c) et g), l’article 4, paragraphe 2, l’article 6, paragraphe 4, les articles 14 et 15, ainsi que l’article 17, paragraphe 1, du règlement (UE) no 1024/2013.

b)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 8, 11 à 17, et la partie V, titres 1, 2 et 3 du règlement (UE) no 468/2014 (BCE/2014/17).

c)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 8, 8 bis, 10 à 14, 18, 21 bis, 22, 23, 27 decies, 27 undecies, 33, 34, 35 et 39 de la directive 2013/36/UE, tels que transposés en droit national.

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées.

3.1.

Octroi d’agrément pour l’accès à l’activité d’établissement de crédit:

a)

les membres du personnel du demandeur;

b)

les membres de l’organe de direction, les titulaires de postes-clés et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) du demandeur ou d’autres entités liées au demandeur;

c)

les personnes avec lesquelles le demandeur ou les membres de l’organe de direction, les titulaires de postes-clés et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) du demandeur entretient/entretiennent des relations financières ou non financières significatives;

d)

les représentants autorisés du demandeur dans le cadre de la procédure d’agrément.

3.2.

Participations qualifiées:

a)

les membres du personnel de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure; les membres de l’organe de direction et les actionnaires de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure ou d’autres entités pertinentes;

b)

les personnes qui assurent la direction effective des activités de l’acquéreur et les membres de l’organe de direction qui assureront la direction des activités de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure à la suite de l’acquisition envisagée de la participation qualifiée, ainsi que les personnes avec lesquelles ils entretiennent des relations financières ou non financières significatives;

c)

l’acquéreur d’une participation qualifiée, ainsi que les personnes avec lesquelles il entretient des relations financières ou non financières significatives;

d)

les membres du personnel et représentants autorisés de l’acquéreur.

3.3.

Retraits d’agrément pour l’accès à l’activité d’établissement de crédit:

a)

les membres de l’organe de direction, les titulaires de postes-clés et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

b)

les personnes avec lesquelles les membres de l’organe de direction et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure entretiennent des relations financières ou non financières significatives;

c)

les membres du personnel et les représentants autorisés de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure.

3.4.

Droit d’établissement et liberté de prestation de services des entités soumises à la surveillance prudentielle:

a)

les membres du personnel de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

b)

les membres de l’organe de direction et les actionnaires de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

c)

les représentants autorisés de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure.

3.5.

Approbations ou exemptions d’approbation de compagnies financières holding (mixtes):

a)

les membres du personnel de la compagnie financière holding (mixte) faisant l’objet de la procédure et de l’entité soumise à la surveillance prudentielle qui est une filiale de la compagnie financière holding (mixte) faisant l’objet de la procédure;

b)

les membres de l’organe de direction et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) de l’entité soumise à la surveillance prudentielle qui est une filiale de la compagnie financière holding (mixte) faisant l’objet de la procédure, ainsi que les personnes avec lesquelles elles entretiennent des relations financières ou non financières significatives;

c)

les membres de l’organe de direction et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) de l’entité soumise à la surveillance prudentielle qui est une filiale de la compagnie financière holding (mixte) faisant l’objet de la procédure, ainsi que les personnes avec lesquelles elles entretiennent des relations financières ou non financières significatives;

d)

les représentants autorisés de la compagnie financière holding (mixte) faisant l’objet de la procédure.

3.6.

Fusions et scissions réalisées par des établissements et par des compagnies financières holding (mixtes):

a)

les membres du personnel de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

b)

les membres de l’organe de direction, les titulaires de postes-clés et les actionnaires ou associés (dans le cas de personnes morales, les personnes assurant la direction effective des activités) de l’entité soumise à la surveillance prudentielle ou d’autres entités liées à l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

c)

les membres de l’organe de direction qui assureront la direction effective des activités de l’entité soumise à la surveillance prudentielle résultant de l’opération envisagée, ainsi que les personnes avec lesquelles ils entretiennent des relations financières ou non financières significatives;

d)

les représentants autorisés de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

c)

les données professionnelles relatives à l’éducation, à la formation, ainsi qu’aux différents emplois et postes occupés;

d)

les données professionnelles relatives à toute autre activité professionnelle de la personne nommée;

e)

le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues;

f)

les données financières;

g)

la description des intérêts ou relations financiers et non financiers significatifs;

h)

les informations concernant un refus, un retrait, une révocation ou une cessation d’enregistrement, d’agrément, d’affiliation ou de licence pour l’exercice d’activités commerciales ou professionnelles; ou une radiation par un organe public ou de réglementation ou par une association ou un organe professionnel(le);

i)

les informations indiquant si une évaluation de la réputation a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation;

j)

les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne concernée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur l’évaluation en question;

k)

les enregistrements sonores de la voix de la personne concernée.


ANNEXE III

Surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

Dans le cadre de la surveillance prudentielle des entités importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:

a)

veiller au respect, par les entités importantes soumises à la surveillance prudentielle, des dispositions pertinentes du droit de l’Union, y compris leurs transpositions en droit national, qui imposent des exigences prudentielles dans les domaines: i) des fonds propres, de la titrisation, des limites applicables aux grands risques, de la liquidité, de l’effet de levier, ainsi que des déclarations d’informations et des informations à destination du public sur ces sujets et ii) de la gouvernance, y compris des processus de gestion des risques, des mécanismes de contrôle interne, des politiques et pratiques de rémunération, ainsi que des procédures efficaces d’évaluation de l’adéquation du capital interne et de la liquidité, y compris des modèles fondés sur les notations internes;

b)

mener des contrôles prudentiels et des tests de résistance visant à déterminer si les entités importantes soumises à la surveillance prudentielle respectent les exigences pertinentes du droit de l’Union et, sur la base de ce contrôle prudentiel, imposer auxdites entités des exigences spécifiques et d’autres mesures;

c)

assurer la surveillance prudentielle des sociétés mères des entités soumises à la surveillance prudentielle établies dans l’un des États membres participants, y compris les compagnies financières holding (mixtes), et participer à la surveillance prudentielle sur base consolidée, notamment au sein des collèges d’autorités de contrôle, sans préjudice de la participation des ACN à ces collèges en tant qu’observateurs, des sociétés mères non établies dans l’un des États membres participants;

d)

participer à la surveillance prudentielle complémentaire des conglomérats financiers en ce qui concerne les entités soumises à la surveillance prudentielle qui en font partie et assumer un rôle de coordination lorsque la BCE est désignée en tant que coordinateur pour un conglomérat financier, conformément aux critères énoncés dans les dispositions pertinentes du droit de l’Union;

e)

exécuter des missions de surveillance prudentielle concernant les plans de redressement et l’intervention précoce;

f)

exécuter des missions de surveillance prudentielle liées à l’évaluation de participations importantes qui ne sont pas des participations qualifiées;

g)

exercer, à l’égard des entités importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit national qui relèvent des missions de la BCE, y compris l’approbation des acquisitions, par des entités importantes soumises à la surveillance prudentielle, de participations dans un établissement autre qu’un établissement de crédit ou un établissement de crédit situé en dehors de l’Union, des fusions ou scissions d’établissements de crédit, de l’acquisition ou cession d’actifs ou de passifs, de la modification des statuts des établissements de crédit, de la nomination des commissaires aux comptes extérieurs, des demandes d’informations et de rapports spécifiques auprès des commissaires aux comptes extérieurs, des projets d’externalisation, des opérations réalisées dans des pays tiers, de l’exercice des pouvoirs à l’égard des actionnaires, des crédits octroyés ou des limites de crédit imposées à des parties liées, des décisions stratégiques et de la création de groupes bancaires coopératifs;

h)

exercer, à l’égard des entités importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit de l’Union, y compris les options et facultés dont disposent les autorités compétentes en vertu du règlement (UE) no 575/2013 du Parlement européen et du Conseil (1) et de la directive 2013/36/UE, telle que transposée en droit national.

2. BASE JURIDIQUE

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points d), e), f), g), h) et i), l’article 4, paragraphe 3, et les articles 6 et 9 du règlement (UE) no 1024/2013.

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les membres du personnel d’une entité importante soumise à la surveillance prudentielle;

b)

les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs d’une entité importante soumise à la surveillance prudentielle;

c)

les membres du personnel ou les représentants des associations bancaires;

d)

les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales;

e)

d’autres tiers, tels que des personnes introduisant des réclamations ou des demandes d’informations concernant une entité importante soumise à la surveillance prudentielle;

f)

les représentants autorisés d’une personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

g)

les représentants autorisés de l’acquéreur d’une participation importante;

h)

les membres du personnel de l’acquéreur d’une participation importante.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

c)

les données professionnelles relatives à l’éducation, à la formation, ainsi qu’aux différents emplois et postes occupés et à toute autre activité professionnelle;

d)

les données financières, par exemple dans le cadre de l’examen d’un dossier de crédit d’un client de la banque ou dans le cadre d’un prêt à un membre de l’organe de direction lorsqu’une approbation préalable est requise;

e)

le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues.


(1) Règlement (UE) no 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et modifiant le règlement (UE) no 648/2012 (JO L 176 du 27.6.2013, p. 1, ELI: http://data.europa.eu/eli/reg/2013/575/oj).


ANNEXE IV

Procédures d’exécution et de sanction

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

Dans le cadre des procédures d’exécution et de sanction, les données à caractère personnel sont traitées aux fins suivantes:

a)

enquête sur des infractions présumées à des exigences découlant d’actes pertinents directement applicables du droit de l’Union, commises par des entités soumises à la surveillance prudentielle, pour lesquelles des sanctions pécuniaires administratives peuvent être imposées en vertu de l’article 18, paragraphe 1, du règlement (UE) no 1024/2013, et élaboration des propositions relatives à l’imposition de telles sanctions;

b)

enquête sur des infractions présumées, commises par des entités soumises à la surveillance prudentielle, à des règlements ou décisions de la BCE pour lesquelles des sanctions peuvent être imposées en vertu de l’article 18, paragraphe 7, du règlement (UE) no 1024/2013;

c)

détermination, dans les cas relevant de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013, s’il convient de demander à une ACN d’engager une procédure, et notification de cette demande à l’ACN;

d)

demande d’information en vertu de l’article 10 du règlement (UE) no 1024/2013 et de l’article 139 du règlement (UE) no 468/2014 (BCE/2014/17), et accomplissement des missions en vertu des articles 125 à 138 du règlement (UE) no 468/2014 (BCE/2014/17) dans le cadre de l’enquête sur les infractions présumées visées à l’article 18, paragraphes 1 et 7, du règlement (UE) no 1024/2013;

e)

détermination s’il convient de demander à une ACN, en vertu de l’article 136 du règlement (UE) no 468/2014 (BCE/2014/17), de saisir les autorités compétentes en cas d’infraction pénale présumée, à des fins d’enquête et d’éventuelles poursuites pénales, et notification de cette demande à l’ACN.

2. BASE JURIDIQUE

a)

L’article 5, paragraphe 1, points a) et b), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 9, 10, 11 et 18 du règlement (UE) no 1024/2013.

b)

L’article 5, paragraphe 1, points a) et b), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 113, paragraphe 3, et les articles 120 à 129, 134, 136 et 139 du règlement (UE) no 468/2014 (BCE/2014/17).

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les membres du personnel de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

b)

les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure;

c)

les membres de l’organe de direction des entités cherchant à acquérir une participation qualifiée dans l’entité soumise à la surveillance prudentielle;

d)

les candidats acquéreurs d’une participation qualifiée;

e)

les représentants autorisés de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, la nationalité et la signature;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

c)

les données professionnelles relatives à l’éducation, à la formation et à l’emploi;

d)

les données financières;

e)

les détails des infractions (présumées) et des condamnations pénales.


ANNEXE V

Inspections sur place des entités importantes soumises à la surveillance prudentielle

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

Dans le cadre des inspections sur place des entités importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:

a)

effectuer des inspections sur place afin de mener des enquêtes approfondies sur les risques, les contrôles des risques et la gouvernance des entités soumises à la surveillance prudentielle;

b)

évaluer les modèles internes utilisés pour le calcul des exigences de fonds propres, notamment en ce qui concerne les méthodologies, l’adéquation économique, les risques, les contrôles des risques et la gouvernance;

c)

procéder à des examens de la qualité des actifs afin d’améliorer la transparence en ce qui concerne les expositions des entités soumises à la surveillance prudentielle, y compris en ce qui concerne l’adéquation des évaluations des actifs et des sûretés et les dispositions connexes.

2. BASE JURIDIQUE

a)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, point f), l’article 6, paragraphe 4, et les articles 10, 11 et 12 du règlement (UE) no 1024/2013.

b)

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 143 à 146 du règlement (UE) no 468/2014 (BCE/2014/17).

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les membres du personnel de l’entité soumise à la surveillance prudentielle;

b)

les actionnaires de l’entité soumise à la surveillance prudentielle;

c)

les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle;

d)

les clients de l’entité soumise à la surveillance prudentielle, leurs garants et les parties liées;

e)

les commissaires aux comptes extérieurs de l’entité soumise à la surveillance prudentielle;

f)

les prestataires de services et les consultants de l’entité soumise à la surveillance prudentielle;

g)

les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l‘objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les informations détaillées sur les clients de l’entité soumise à la surveillance prudentielle, notamment:

i)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

ii)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

iii)

la situation financière et les activités financières, telles que les informations relatives au niveau de revenu, aux dépenses, aux actifs, aux dettes, aux produits dérivés, aux engagements financiers, à l’évaluation du risque de crédit, à l’historique des paiements, aux contentieux et litiges avec l’entité soumise à la surveillance prudentielle, ainsi que les indicateurs globaux de solidité financière;

iv)

la composition du ménage, les caractéristiques du logement, l’éducation ainsi que les informations et perspectives liées à l’emploi;

b)

les informations détaillées sur les membres du personnel, les actionnaires et les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle, notamment:

i)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

ii)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

iii)

les activités financières concernant l’entité soumise à la surveillance prudentielle, telles que les informations relatives à la rémunération, aux actifs, aux dettes, aux produits dérivés et aux engagements financiers;

iv)

l’expérience professionnelle, les qualifications, la formation universitaire;

c)

les informations détaillées sur les commissaires aux comptes extérieurs, les prestataires de services et les consultants de l’entité soumise à la surveillance prudentielle ainsi que les informations détaillées sur les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales, notamment:

i)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

ii)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

iii)

la description des relations personnelles des proches de la personne concernée avec des membres de l’organe de direction et/ou des titulaires de postes-clés de l’entité soumise à la surveillance prudentielle, de son entreprise mère ou de ses filiales, et la description des relations professionnelles et financières de la personne concernée avec l’entité soumise à la surveillance prudentielle, son entreprise mère ou ses filiales.


ANNEXE VI

Suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

Dans le cadre du suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:

a)

évaluation visant à déterminer si les ACN appliquent des normes élevées de surveillance de manière cohérente et vérification que des situations comparables aboutissent à des résultats comparables dans l’ensemble du MSU;

b)

réception de notifications ex ante et ex post de la part des ACN sur les procédures de surveillance essentielles et les projets de décisions essentiels concernant les entités moins importantes soumises à la surveillance prudentielle à haut risque et ayant une incidence forte, et fourniture de conseils aux ACN afin d’approfondir l’évaluation d’aspects précis de ces procédures;

c)

réception de notifications de la part des ACN concernant des circonstances particulières;

d)

réalisation d’examens thématiques destinés à fournir des informations ciblées sur la surveillance prudentielle exercée par les ACN en ce qui concerne des domaines de risque définis, au niveau de chaque entité moins importante soumise à la surveillance prudentielle ou de catégories d’entités moins importantes soumises à la surveillance prudentielle similaires, afin de garantir une surveillance prudentielle de haute qualité;

e)

participation aux inspections sur place des entités moins importantes soumises à la surveillance prudentielle, en vue de favoriser la compréhension, par la BCE, de la façon dont les ACN exercent la surveillance prudentielle.

2. BASE JURIDIQUE

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 6, paragraphes 4, 5 et 6, du règlement (UE) no 1024/2013.

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les membres du personnel des entités moins importantes soumises à la surveillance prudentielle;

b)

les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs des entités moins importantes soumises à la surveillance prudentielle;

c)

les membres du personnel ou les représentants des associations bancaires;

d)

les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales;

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

c)

les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination;

d)

les données professionnelles relatives à toute autre activité professionnelle de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

e)

les données financières de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

f)

le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues;

g)

la description des relations personnelles des proches de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales;

h)

les informations indiquant si une évaluation de l’honorabilité et des compétences a déjà été effectuée par une autre autorité compétente ainsi que les informations concernant les résultats de cette évaluation;

i)

les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours;

j)

les informations, concernant la conduite observée par la personne nommée dans ses fonctions actuelles, qui peuvent être pertinentes dans le cadre des réévaluations.


ANNEXE VII

Surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle

1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT

Dans le cadre de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:

a)

veiller au respect, par les entités moins importantes soumises à la surveillance prudentielle, des dispositions pertinentes du droit de l’Union, y compris leurs transpositions en droit national, qui imposent des exigences prudentielles dans les domaines: i) des fonds propres, de la titrisation, des limites applicables aux grands risques, de la liquidité, de l’effet de levier, ainsi que des déclarations d’informations et des informations à destination du public sur ces sujets et ii) de la gouvernance, y compris des processus de gestion des risques, des mécanismes de contrôle interne, des politiques et pratiques de rémunération, ainsi que des procédures efficaces d’évaluation de l’adéquation du capital interne et de la liquidité, y compris des modèles fondés sur les notations internes;

b)

mener des contrôles prudentiels et des tests de résistance visant à déterminer si les entités moins importantes soumises à la surveillance prudentielle respectent les exigences pertinentes du droit de l’Union et, sur la base de ce contrôle prudentiel, imposer auxdites entités des exigences spécifiques et d’autres mesures;

c)

assurer la surveillance prudentielle, sur base consolidée, des sociétés mères des entités moins importantes soumises à la surveillance prudentielle établies dans l’un des États membres participants, y compris les compagnies financières holding et les compagnies financières holding mixtes, et participer à la surveillance prudentielle sur base consolidée, notamment au sein des collèges d’autorités de contrôle, sans préjudice de la participation des ACN à ces collèges, en tant qu’observateurs, des sociétés mères non établies dans l’un des États membres participants;

d)

exécuter des missions de surveillance prudentielle concernant les plans de redressement et l’intervention précoce;

e)

réaliser des inspections sur place d’entités moins importantes soumises à la surveillance prudentielle;

f)

exercer, à l’égard des entités moins importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit national, y compris, entre autres, l’approbation d’acquisitions, par des entités moins importantes soumises à la surveillance prudentielle, de participations dans un établissement autre qu’un établissement de crédit ou un établissement de crédit situé en dehors de l’Union, des fusions ou scissions d’établissements de crédit, de l’acquisition ou la cession d’actifs ou de passifs, de la modification des statuts des établissements de crédit, de la nomination des commissaires aux comptes extérieurs, des demandes d’informations et de rapports spécifiques auprès des commissaires aux comptes extérieurs, des projets d’externalisation, des opérations réalisées dans des pays tiers, de l’exercice des pouvoirs à l’égard des actionnaires, des crédits octroyés ou des limites de crédit imposées à des parties liées, des décisions stratégiques et de la création de groupes bancaires coopératifs;

g)

exercer, à l’égard des entités moins importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés aux autorités compétentes en vertu du règlement (UE) no 575/2013 et de la directive 2013/36/UE, telle que transposée en droit national.

2. BASE JURIDIQUE

L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points b), d), g) et i), et l’article 6, paragraphe 6, du règlement (UE) no 1024/2013.

3. PERSONNES CONCERNÉES

Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:

a)

les membres du personnel des entités moins importantes soumises à la surveillance prudentielle;

b)

les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs des entités moins importantes soumises à la surveillance prudentielle;

c)

les membres du personnel ou les représentants des associations bancaires;

d)

les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales;

e)

d’autres tiers, tels que des personnes introduisant des réclamations ou des demandes d’informations concernant une entité moins importante soumise à la surveillance prudentielle;

f)

les représentants autorisés d’une personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences.

4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:

a)

les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature;

b)

les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone;

c)

les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination;

d)

les données professionnelles relatives à toute autre activité professionnelle de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

e)

le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues;

f)

les données financières de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences;

g)

la description des relations personnelles des proches de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales;

h)

les informations indiquant si une évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation;

i)

les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours;

j)

les informations, concernant la conduite observée par la personne nommée dans des fonctions actuelles, qui peuvent être pertinentes dans le cadre des réévaluations;

k)

les données financières, par exemple dans le cadre de l’examen d’un dossier de crédit d’un client de la banque ou dans le cadre d’un prêt octroyé à un membre de l’organe de direction lorsqu’une approbation préalable est requise;

l)

les enregistrements sonores de la voix de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences.


ELI: http://data.europa.eu/eli/dec/2026/1942/oj

ISSN 1977-0693 (electronic edition)