Décision (UE) 2026/1942 de la Banque centrale européenne du 30 juillet 2026 concernant le traitement des données à caractère personnel dans le cadre de la surveillance prudentielle des établissements de crédit (BCE/2026/18)
| CELEX | 32026D1942 |
| Type | Décision |
| Date | jeudi 30 juillet 2026 |
Texte intégral
| Journal officiel | FR Série L |
| 2026/1942 | 14.8.2026 |
DÉCISION (UE) 2026/1942 DE LA BANQUE CENTRALE EUROPÉENNE
du 30 juillet 2026
concernant le traitement des données à caractère personnel dans le cadre de la surveillance prudentielle des établissements de crédit (BCE/2026/18)
LE CONSEIL DES GOUVERNEURS DE LA BANQUE CENTRALE EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne,
vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et en particulier son article 28,
vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (2), et en particulier son article 26,
vu le règlement (UE) no 1024/2013 du Conseil du 15 octobre 2013 confiant à la Banque centrale européenne des missions spécifiques ayant trait aux politiques en matière de surveillance prudentielle des établissements de crédit (3), et en particulier son article 4, paragraphe 3, et son article 6, paragraphes 1 et 7,
considérant ce qui suit:
| (1) | La Banque centrale européenne (BCE) et chaque autorité compétente nationale (ACN) forment ensemble le mécanisme de surveillance unique (MSU). La BCE et les ACN exercent des missions de surveillance relevant de la surveillance prudentielle des établissements de crédit, en vertu du règlement (UE) no 1024/2013. La BCE et les ACN peuvent traiter des données à caractère personnel lors de l’exercice de ces missions de surveillance prudentielle. |
| (2) | Lorsqu’elles traitent des données à caractère personnel dans l’exercice de leurs missions de surveillance prudentielle, la BCE et les ACN déterminent conjointement les finalités et les moyens du traitement. La détermination conjointe des finalités du traitement des données à caractère personnel résulte de l’organisation du travail au sein du MSU, qui entraîne une coopération entre la BCE et les ACN. |
| (3) | Par conséquent, il convient de considérer la BCE et chaque ACN comme des responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725, concernant la BCE, et de l’article 26, paragraphe 1, du règlement (UE) 2016/679, concernant les ACN, pour ce qui est des opérations de traitement de données à caractère personnel effectuées dans l’exercice des missions de surveillance prudentielle. |
| (4) | L’article 28, paragraphe 1, du règlement (UE) 2018/1725 et l’article 26, paragraphe 1, du règlement (UE) 2016/679 prévoient que les responsables conjoints du traitement doivent déterminer, par voie d’accord entre eux, leurs responsabilités respectives aux fins d’assurer le respect des obligations prévues, respectivement, par le règlement (UE) 2018/1725 et par le règlement (UE) 2016/679. Dans l’intérêt du fonctionnement efficace et cohérent du MSU, auquel la BCE est chargée de veiller en vertu de l’article 6, paragraphe 1, du règlement (UE) no 1024/2013, ainsi que de la transparence et de la sécurité juridique, il convient qu’un tel accord soit mis en place au moyen d’une décision de la BCE adoptée en consultation avec les ACN conformément à l’article 6, paragraphes 1 et 7, du règlement (UE) no 1024/2013. |
| (5) | Les responsables conjoints du traitement traitent en principe des données à caractère personnel aux fins des missions de surveillance prudentielle suivantes: a) procédures d’évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience (ci-après «procédures d’évaluation de l’honorabilité et des compétences») pour les entités importantes soumises à la surveillance prudentielle; b) procédures d’autorisation; c) surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle; d) procédures d’exécution et de sanction, à l’exception de certaines procédures particulières; e) inspections sur place des entités importantes soumises à la surveillance prudentielle; f) suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle; et g) surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle. |
| (6) | Il convient que chaque ACN soit l’unique responsable du traitement lorsque des données à caractère personnel sont traitées dans le cadre de procédures conduites au titre de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013 à compter du moment où la BCE notifie à l’ACN qu’elle lui demande d’engager une procédure; dans le cadre de procédures conduites au titre de l’article 136 du règlement (UE) no 468/2014 de la Banque centrale européenne (BCE/2014/17) (4) à compter du moment où la BCE notifie sa demande à l’ACN; et lorsqu’il existe, pour le traitement des données à caractère personnel, une autre base juridique que le règlement (UE) no 1024/2013. Pour tout traitement de données à caractère personnel en rapport avec des signalements de violation des dispositions du droit de l’Union ou du droit national relatives à la surveillance prudentielle des établissements de crédit, qui ont été transmis via le mécanisme de lancement d’alerte de la BCE ou d’une ACN, il convient que la BCE ou l’ACN, selon le cas, soit l’unique responsable du traitement. |
| (7) | Aux fins du respect de l’article 28, paragraphe 2, du règlement (UE) 2018/1725 et de l’article 26, paragraphe 2, du règlement (UE) 2016/679, il convient que la présente décision définisse les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées et régisse la manière dont ces responsables communiquent à celles-ci les grandes lignes de l’accord existant. |
| (8) | L’organisation du travail au sein du MSU est telle qu’en règle générale, seuls deux ou plusieurs responsables conjoints du traitement exercent une mission de surveillance prudentielle à l’égard d’une entité soumise à la surveillance prudentielle et effectuent les opérations y afférentes de traitement de données à caractère personnel. Par conséquent, il convient de prendre en considération, lors de la détermination des responsabilités respectives des responsables conjoints du traitement effectuée conformément à l’article 28, paragraphe 1, du règlement (UE) 2018/1725 ou à l’article 26, paragraphe 1, du règlement (UE) 2016/679, quels sont les responsables conjoints du traitement qui exercent la mission de surveillance prudentielle particulière concernant l’entité soumise à la surveillance prudentielle. Cette approche, visant à déterminer les responsabilités respectives des responsables conjoints du traitement, présente un intérêt particulier dans le cadre de la fourniture d’informations aux personnes concernées, du traitement des demandes des personnes concernées et de la notification, aux autorités de contrôle, des violations de données à caractère personnel relatives aux données traitées par le responsable conjoint du traitement effectuant la notification. |
| (9) | Les violations de données à caractère personnel devraient être gérées par le responsable conjoint du traitement compétent. Dans le cas peu probable où celui-ci ne peut être déterminé rapidement, tous les responsables conjoints du traitement devraient être chargés de gérer la violation de données à caractère personnel. Dans ce cas, il convient que tous les responsables conjoints du traitement se coordonnent en vue de s’acquitter de leurs obligations de notification respectives à l’égard de l’autorité de contrôle et de leurs obligations en matière de communication à l’égard de la personne concernée au titre du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679. Lorsqu’une violation de données à caractère personnel est communiquée à la personne concernée, cela doit être fait de façon efficace afin d’éviter des communications multiples ou contradictoires. Il convient que la BCE notifie toute violation de données à caractère personnel au Contrôleur européen de la protection des données, à moins qu’il soit peu probable que la violation en question engendre un risque pour les droits et libertés des personnes physiques. |
| (10) | Il convient que chaque responsable conjoint du traitement reste individuellement responsable de la tenue d’un registre des activités de traitement qui relèvent de sa responsabilité; de la définition des périodes pendant lesquelles les données à caractère personnel seront conservées; de la décision de restreindre l’application des droits des personnes concernées, lorsque cela est nécessaire et proportionné, ou d’appliquer des exceptions prévues par l’article 16, paragraphe 5, du règlement (UE) 2018/1725 ou par l’article 14, paragraphe 5, du règlement (UE) 2016/679; de la détermination et de l’évaluation de la licéité, la nécessité et la proportionnalité des transferts de données à caractère personnel vers un pays tiers ou une organisation internationale; et du recours à des sous-traitants qui traitent des données à caractère personnel en son nom. |
| (11) | Les responsables conjoints du traitement sont responsables des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, conformément, respectivement, à l’article 65 du règlement (UE) 2018/1725 en ce qui concerne la BCE et à l’article 82 du règlement (UE) 2016/679 en ce qui concerne chaque ACN. Chaque responsable conjoint du traitement est conjointement et solidairement responsable à l’égard des personnes concernées, et il convient donc de réglementer la façon dont les versements à titre de réparation sont répartis entre les responsables conjoints du traitement. |
| (12) | La présente décision ne devrait pas avoir d’incidence sur l’applicabilité d’autres actes juridiques de l’Union qui prévoient des règles en matière de transmission d’informations prudentielles, détenues par la BCE, à des institutions et organes de l’Union ainsi qu’à des juridictions et autorités nationales et internationales, |
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
Objet et champ d’application
1. La présente décision définit la manière dont les rôles et responsabilités respectifs sont répartis entre les responsables conjoints du traitement, qui sont la BCE et les ACN, aux fins du respect du règlement (UE) 2018/1725 en ce qui concerne la BCE et du règlement (UE) 2016/679 en ce qui concerne les ACN, lorsque des données à caractère personnel sont traitées dans l’exercice des missions de surveillance prudentielle énumérées au paragraphe 2.
2. La présente décision s’applique au traitement de données à caractère personnel effectué lors de l’exercice des missions de surveillance prudentielle suivantes:
| a) | procédures d’évaluation de l’honorabilité et des compétences pour les entités importantes soumises à la surveillance prudentielle; |
| b) | procédures d’autorisation; |
| c) | surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle; |
| d) | procédures d’exécution et de sanction, à l’exclusion du traitement de données à caractère personnel par des ACN agissant en vertu de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013 à compter du moment où la BCE notifie à l’ACN qu’elle lui demande d’engager une procédure, et procédures conduites au titre de l’article 136 du règlement (UE) no 468/2014 (BCE/2014/17) à compter du moment où la BCE notifie sa demande à l’ACN; |
| e) | inspections sur place des entités importantes soumises à la surveillance prudentielle; |
| f) | suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle; |
| g) | surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle. |
Pour chaque mission de surveillance prudentielle, l’objet, la nature et la finalité du traitement, la base juridique du traitement, les personnes concernées et les catégories de données à caractère personnel traitées sont énoncés dans les annexes.
3. La présente décision ne s’applique pas au traitement de données à caractère personnel en rapport avec des signalements de violations de dispositions du droit de l’Union ou du droit national relatives à la surveillance prudentielle des établissements de crédit, transmis via le mécanisme de lancement d’alerte de la BCE ou d’une ACN. Elle ne s’applique pas non plus lorsque les ACN traitent des données à caractère personnel en vertu d’une autre base juridique que le règlement (UE) no 1024/2013.
4. La présente décision est sans préjudice d’autres actes juridiques de l’Union qui prévoient des règles en matière de transmission d’informations prudentielles, détenues par la BCE, à des institutions et organes de l’Union ainsi qu’à des juridictions et autorités nationales et internationales.
Article 2
Définitions
Aux fins de la présente décision, les définitions énoncées dans le règlement (UE) no 1024/2013 et le règlement (UE) no 468/2014 (BCE/2014/17) s’appliquent, sauf disposition contraire, conjointement avec les définitions suivantes. On entend par:
1) «traitement», un traitement au sens de l’article 3, point 3), du règlement (UE) 2018/1725 ou de l’article 4, point 2), du règlement (UE) 2016/679;
2) «données à caractère personnel», les données à caractère personnel au sens de l’article 3, point 1), du règlement (UE) 2018/1725 ou de l’article 4, point 1), du règlement (UE) 2016/679;
3) «autorité compétente nationale» (ACN), une autorité compétente nationale au sens de l’article 2, point 9, du règlement (UE) no 468/2014 (BCE/2014/17);
4) «mission de surveillance prudentielle», une mission confiée à la BCE en vertu de l’article 4, paragraphes 1 et 2, du règlement (UE) no 1024/2013 et accomplie dans le cadre de l’article 6 de ce même règlement;
5) «responsable du traitement», un responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725 ou de l’article 4, point 7), du règlement (UE) 2016/679;
6) «responsable conjoint du traitement», un responsable conjoint du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725 ou de l’article 26, paragraphe 1, du règlement (UE) 2016/679;
7) «sous-traitant», un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 ou de l’article 4, point 8), du règlement (UE) 2016/679;
8) «institutions et organes de l’Union», les institutions et organes de l’Union au sens de l’article 3, point 10), du règlement (UE) 2018/1725;
9) «avis relatif à la protection des données», un document par lequel les personnes concernées reçoivent des informations conformément à l’article 15 ou 16 du règlement (UE) 2018/1725 ou à l’article 13 ou 14 du règlement (UE) 2016/679;
10) «demande d’une personne concernée», une demande adressée par une personne concernée à un ou plusieurs responsables conjoints du traitement, par laquelle la personne concernée exerce l’un des droits qui lui sont conférés par le chapitre III du règlement (UE) 2018/1725 ou le chapitre III du règlement (UE) 2016/679;
11) «violation de données à caractère personnel», une violation de données à caractère personnel au sens de l’article 3, point 16), du règlement (UE) 2018/1725 ou de l’article 4, point 12), du règlement (UE) 2016/679;
12) «autorité de contrôle», une autorité de contrôle nationale au sens de l’article 3, point 22), du règlement (UE) 2018/1725, une autorité de contrôle au sens de l’article 4, point 21), du règlement (UE) 2016/679 ou le Contrôleur européen de la protection des données;
13) «État membre d’origine», l’État membre dans lequel un établissement de crédit a été agréé;
14) «État membre d’accueil», l’État membre dans lequel un établissement de crédit a une succursale ou fournit des services.
Article 3
Fourniture d’informations à la personne concernée
1. Le responsable conjoint du traitement qui commence le traitement de données à caractère personnel, ce qui comprend la collecte de ces données, fournit à la personne concernée les informations requises, respectivement, par les articles 15 et 16 du règlement (UE) 2018/1725 ou les articles 13 et 14 du règlement (UE) 2016/679, ainsi que par l’article 28, paragraphe 2, deuxième phrase, du règlement (UE) 2018/1725 ou l’article 26, paragraphe 2, deuxième phrase, du règlement (UE) 2016/679. Ce responsable conjoint du traitement est:
| a) | pour les données à caractère personnel transmises par l’intermédiaire du portail Information Management System (IMAS), la BCE; |
| b) | pour les données à caractère personnel reçues dans tous les autres cas:
|
2. Chaque responsable conjoint du traitement publie un avis relatif à la protection des données sur son site internet, en plus de se conformer à l’obligation visée au paragraphe 1.
3. Les responsables conjoints du traitement se coordonnent à propos des informations à fournir à la personne concernée et s’accordent sur le contenu cohérent, voire identique, de ces informations, en vertu, respectivement, de l’article 28, paragraphe 2, deuxième phrase, du règlement (UE) 2018/1725 et de l’article 26, paragraphe 2, deuxième phrase, du règlement (UE) 2016/679.
Article 4
Traitement des demandes des personnes concernées
1. Les personnes concernées peuvent exercer leurs droits au titre du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, selon le cas, à l’égard et à l’encontre de chacun des responsables conjoints du traitement. Chaque responsable conjoint du traitement publie, dans son avis relatif à la protection des données figurant sur son site internet, son point de contact et le point de contact de chacun des autres responsables conjoints du traitement.
2. Le responsable conjoint du traitement chargé de traiter la demande de la personne concernée est:
| a) | pour les procédures d’évaluation de l’honorabilité et des compétences concernant des entités importantes soumises à la surveillance prudentielle, l’ACN concernée conformément aux articles 93 et 94 du règlement (UE) no 468/2014 (BCE/2014/17) jusqu’à ce que l’évaluation à effectuer dans le cadre de la procédure d’évaluation de l’honorabilité et des compétences soit confiée à la BCE, et la BCE ensuite; |
| b) | pour les procédures d’autorisation:
|
| c) | pour la surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle, la BCE; |
| d) | pour les procédures d’exécution et de sanction, la BCE; |
| e) | pour les inspections sur place des entités importantes soumises à la surveillance prudentielle, la BCE; |
| f) | pour le suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, la BCE; |
| g) | pour la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle:
|
3. À la demande du responsable conjoint du traitement compétent en vertu du paragraphe 2, un responsable conjoint du traitement prête à ce dernier une assistance rapide et efficace pour le traitement de toute demande d’une personne concernée, conformément à la procédure prévue au paragraphe 4.
4. Les règles suivantes s’appliquent au traitement des demandes des personnes concernées:
| a) | le responsable conjoint du traitement qui reçoit la demande de la personne concernée envoie un accusé de réception à cette dernière dans les meilleurs délais. Si la demande de la personne concernée ne relève pas de sa responsabilité, telle que déterminée conformément au paragraphe 2, le responsable conjoint du traitement qui reçoit ladite demande la transmet au responsable conjoint du traitement effectivement chargé de traiter cette demande en vertu du paragraphe 2; |
| b) | si le responsable conjoint du traitement auquel la demande de la personne concernée a été transmise confirme qu’il est le responsable conjoint du traitement compétent pour traiter cette demande en vertu du paragraphe 2, le responsable conjoint du traitement qui a reçu la demande de la personne concernée informe cette dernière de la transmission de sa demande à ce responsable conjoint du traitement; |
| c) | en cas de désaccord sur la question de savoir quel responsable conjoint du traitement est compétent en vertu du paragraphe 2, celui-ci est réglé lors d’une réunion organisée entre le responsable conjoint du traitement qui a reçu la demande de la personne concernée, le responsable conjoint du traitement auquel cette demande a été transmise et tout autre responsable conjoint du traitement que ce dernier considère comme compétent en vertu du paragraphe 2. À la suite de cette réunion, le responsable conjoint du traitement qui a reçu la demande de la personne concernée informe cette dernière de la transmission de sa demande au responsable conjoint du traitement qui a confirmé être compétent en vertu du paragraphe 2. Si le responsable conjoint du traitement qui reçoit la demande de la personne concernée est le responsable conjoint du traitement compétent en vertu du paragraphe 2, mais que la demande de la personne concernée porte également sur d’autres missions de surveillance prudentielle visées au paragraphe 2, points a) à g), il demande l’assistance d’un ou de plusieurs autres responsables conjoints du traitement conformément au paragraphe 3; |
| d) | le responsable conjoint du traitement compétent en vertu du paragraphe 2 envoie la réponse finale à la personne concernée, après avoir intégré les informations fournies par tout autre responsable conjoint du traitement déterminé en vertu du point c), le cas échéant. |
Article 5
Procédure relative aux violations de données à caractère personnel
1. Un responsable conjoint du traitement qui a connaissance d’une violation de données à caractère personnel notifie celle-ci à tous les autres responsables conjoints du traitement dans les meilleurs délais, et au plus tard dans les 24 heures après en avoir eu connaissance.
2. Le responsable conjoint du traitement à l’origine de la violation de données à caractère personnel ou auquel cette violation est imputable, y compris les violations causées par ses sous-traitants ou sous-traitants ultérieurs, ou imputables à ceux-ci, est chargé de gérer ladite violation conformément, respectivement, au règlement (UE) 2018/1725 ou au règlement (UE) 2016/679. S’il n’est pas possible de déterminer quel responsable conjoint du traitement est compétent dans un délai de 24 heures à compter de la réception de la notification visée au paragraphe 1, tous les responsables conjoints du traitement sont alors chargés de gérer la violation de données à caractère personnel.
3. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 est, en particulier, tenu de notifier la violation de données à caractère personnel à son autorité de contrôle et d’en informer la personne concernée, le cas échéant. Même si la BCE n’est pas le responsable conjoint du traitement compétent, elle notifie également la violation de données à caractère personnel au Contrôleur européen de la protection des données, à moins qu’il soit peu probable que la violation en question engendre un risque pour les droits et libertés des personnes physiques.
4. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 informe, dans les meilleurs délais, tous les autres responsables conjoints du traitement: a) des mesures qu’il a appliquées pour atténuer les risques découlant de cette violation; et b) si celle-ci a été ou sera notifiée à l’autorité de contrôle et communiquée à la personne concernée.
Article 6
Sécurité du traitement
1. Conformément, respectivement, à l’article 33 du règlement (UE) 2018/1725 et à l’article 32 du règlement (UE) 2016/679, les responsables conjoints du traitement mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données à caractère personnel traitées. Lorsqu’ils évaluent le niveau de sécurité adapté, les responsables conjoints du traitement tiennent compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques encourus par les personnes concernées.
2. Chaque responsable conjoint du traitement qui assure la maintenance et l’administration d’un système informatique utilisé pour le traitement de données à caractère personnel arrête et met en œuvre les mesures techniques et organisationnelles appropriées pour ce système, ou veille à ce que le sous-traitant arrête et mette en œuvre ces mesures.
3. Les responsables conjoints du traitement n’accordent l’accès aux données à caractère personnel traitées dans le cadre de la présente décision qu’aux personnes physiques agissant sous leur autorité et uniquement dans la mesure où cela est nécessaire aux finalités du traitement énoncées dans les annexes.
4. Les responsables conjoints du traitement veillent à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
Article 7
Analyses d’impact relatives à la protection des données
1. Les responsables conjoints du traitement conviennent si une analyse d’impact relative à la protection des données est nécessaire et déterminent lequel d’entre eux élabore le projet d’une telle analyse.
2. Une analyse d’impact relative à la protection des données ne peut être considérée comme finale que si elle a été approuvée par tous les responsables conjoints du traitement.
3. Lorsque cela est justifié, par exemple lorsque les responsables conjoints du traitement ne participent pas aux mêmes étapes d’une opération de traitement, ils effectuent une analyse d’impact relative à la protection des données distincte pour l’étape particulière de l’opération de traitement à laquelle ils participent.
4. Lorsqu’il ressort d’une analyse d’impact relative à la protection des données que, en l’absence de garanties, de mesures de sécurité et de mécanismes pour atténuer le risque, le traitement engendrerait un risque élevé pour les droits et libertés des personnes physiques et que le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1 est d’avis que le risque ne peut être atténué par des moyens raisonnables compte tenu des techniques disponibles et des coûts de mise en œuvre, ledit responsable consulte son autorité de contrôle. Dans un tel cas, la BCE consulte également le Contrôleur européen de la protection des données conformément à l’article 40 du règlement (UE) 2018/1725, même si elle n’est pas le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1.
Article 8
Autres responsabilités des responsables conjoints du traitement
1. Sans préjudice des obligations auxquelles les responsables conjoints du traitement sont soumis en vertu du règlement (UE) 2018/1725, du règlement (UE) 2016/679 ou du droit national, chaque responsable conjoint du traitement est chargé des actions suivantes:
| a) | définir les durées pendant lesquelles les données à caractère personnel seront conservées conformément à la législation applicable en matière de protection des données; |
| b) | décider de limiter l’application des droits des personnes concernées, lorsque cela est nécessaire et proportionné, conformément aux règles applicables en matière de protection des données, y compris les règles internes adoptées par un responsable conjoint du traitement ou la législation nationale dans le respect, respectivement, du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, ou d’appliquer toute exception prévue, respectivement, par l’article 16, paragraphe 5, du règlement (UE) 2018/1725 ou par l’article 14, paragraphe 5, du règlement (UE) 2016/679; |
| c) | déterminer et évaluer la licéité, la nécessité et la proportionnalité des transferts de données à caractère personnel vers un pays tiers ou une organisation internationale et respecter les obligations qui lui incombent en vertu, respectivement, du chapitre V du règlement (UE) 2018/1725 ou du chapitre V du règlement (UE) 2016/679; |
| d) | faire uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, conformément, respectivement, à l’article 29 du règlement (UE) 2018/1725 et à l’article 28 du règlement (UE) 2016/679; |
| e) | fournir aux autres responsables conjoints du traitement une liste des sous-traitants auxquels il fait appel pour traiter les données à caractère personnel dans l’exercice des missions de surveillance prudentielle énumérées à l’article 1er, paragraphe 2. |
2. Les responsables conjoints du traitement se notifient mutuellement toute information pertinente relative au respect des obligations énoncées au paragraphe 1, tout en tenant dûment compte du régime de confidentialité applicable.
Article 9
Conformité et documentation
1. Chacun des responsables conjoints du traitement respecte les principes généraux de la protection des données énoncés, respectivement, à l’article 4 du règlement (UE) 2018/1725 ou à l’article 5 du règlement (UE) 2016/679.
2. Chaque responsable conjoint du traitement tient un registre consignant les activités de traitement relevant de sa responsabilité et conserve les informations nécessaires pour attester de son respect de la présente décision.
Article 10
Coopération entre les responsables conjoints du traitement
Les responsables conjoints du traitement se prêtent mutuellement l’assistance nécessaire pour que chacun d’entre eux puisse se conformer aux exigences, respectivement, du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, ainsi qu’à la présente décision, dans un laps de temps compatible avec les exigences énoncées dans lesdits règlements.
Article 11
Répartition des versements à titre de réparation
Les responsables conjoints du traitement s’acquittent les uns envers les autres de tout versement à titre de réparation effectué par l’un (ou plusieurs) d’entre eux pour des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, en fonction du degré réel de responsabilité. Si un responsable conjoint du traitement prouve qu’il n’est nullement responsable d’un fait ayant entraîné un préjudice, il est dispensé d’un tel acquittement envers les autres responsables conjoints du traitement et a le droit de recouvrer, auprès du responsable conjoint du traitement dont la responsabilité est effectivement engagée, tout montant qu’il a versé aux fins de la réparation en question.
Article 12
Règlement des différends
1. En cas de différend concernant l’acquittement des versements à titre de réparation effectués par l’un des responsables conjoints du traitement pour des dommages subis à la suite d’une violation du règlement (UE) 2018/1725 ou du règlement (UE) 2016/679, un comité indépendant est mis en place pour faciliter la résolution du différend.
2. Tout responsable conjoint du traitement peut notifier un différend à un ou plusieurs responsables conjoints du traitement et nommer un membre du comité. Chaque responsable conjoint du traitement ayant été notifié nomme son membre du comité dans un délai de deux semaines à compter de la date de réception de la notification. Le responsable conjoint du traitement qui a notifié le différend et les responsables conjoints du traitement qui ont été notifiés sont considérés comme des parties au différend.
3. Le comité indépendant compte un nombre impair de membres et se compose des membres nommés en vertu du paragraphe 2 et d’un ou de deux membres nommés conjointement par ces derniers. Le ou les membres du comité nommés conjointement assurent la présidence, ou respectivement la présidence et la vice-présidence en fonction de leur ancienneté, et ils sont rémunérés par une contribution financière égale versée par toutes les parties au différend. Le ou les membres du comité nommés conjointement sont indépendants vis-à-vis des parties au différend. La personne assurant la présidence notifie la composition définitive du comité au président ou à la présidente de la BCE.
4. Le comité indépendant travaille conformément aux principes d’impartialité et d’égalité et au droit d’être entendu.
5. Le comité indépendant s’efforce de rendre, dans un délai de trois mois à compter de la date de notification de sa composition définitive au président ou à la présidente de la BCE, une recommandation motivée sur la résolution du différend. Cette recommandation n’est pas contraignante pour les parties au différend et peut être présentée comme élément de preuve dans le cadre d’une procédure judiciaire.
Article 13
Réexamen
Afin de garantir que les responsables conjoints du traitement déterminent de façon efficace leurs responsabilités en ce qui concerne le respect des obligations prévues respectivement par le règlement (UE) 2018/1725 et par le règlement (UE) 2016/679, le conseil des gouverneurs réexamine les accords prévus dans la présente décision au plus tard cinq ans après la date à laquelle la présente décision prend effet.
Article 14
Prise d’effet
La présente décision prend effet le jour de sa notification aux destinataires.
Article 15
Destinataires
Les autorités compétentes nationales des États membres participants sont destinataires de la présente décision.
Fait à Francfort-sur-le-Main, le 30 juillet 2026.
La présidente de la BCE
Christine LAGARDE
(1) JO L 295 du 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.
(2) JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.
(3) JO L 287 du 29.10.2013, p. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj.
(4) Règlement (UE) no 468/2014 de la Banque centrale européenne du 16 avril 2014, établissant le cadre de la coopération au sein du mécanisme de surveillance unique entre la Banque centrale européenne, les autorités compétentes nationales et les autorités désignées nationales (le «règlement-cadre MSU») (BCE/2014/17) (JO L 141 du 14.5.2014, p. 1, ELI: http://data.europa.eu/eli/reg/2014/468/oj).
(5) Directive 2013/36/UE du parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE (JO L 176 du 27.6.2013, p. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).
ANNEXE I
Évaluations de l’honorabilité, des connaissances, des compétences et de l’expérience
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
La BCE, en coopération avec les ACN, procède à des évaluations et à des réévaluations de l’aptitude des personnes nommées à des postes de responsabilité pour la direction et la surveillance d’entités importantes soumises à la surveillance prudentielle, telles que les membres de l’organe de direction et les titulaires de postes-clés, ainsi que les titulaires d’autres postes indiqués dans les dispositions de droit national transposant la directive 2013/36/UE, les directeur(trice)s de succursales et certaines autres personnes chargées de la direction d’entités importantes soumises à la surveillance prudentielle ou de leurs succursales (ci-après la «procédure d’évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience» ou «procédure d’évaluation de l’honorabilité et des compétences»).
Dans le cadre des procédures d’évaluation de l’honorabilité et des compétences, les données à caractère personnel sont traitées aux fins suivantes:
| a) | évaluer si les personnes nommées remplissent les critères d’honorabilité, de connaissances, de compétences et d’expérience; |
| b) | procéder à des réévaluations pour s’assurer que les exigences d’honorabilité, de connaissances, de compétences et d’expérience sont respectées de manière continue et, si ces exigences ne sont pas respectées, démettre de leurs fonctions les membres concernés de l’organe de direction de l’entité importante soumise à la surveillance prudentielle; |
| c) | évaluer les demandes d’autorisation d’exercice de fonctions de direction non exécutives supplémentaires émanant de membres de l’organe de direction ainsi que les demandes d’autorisation visant à occuper simultanément, au sein de l’entité importante soumise à la surveillance prudentielle, le poste de président(e) de l’organe de direction dans sa fonction de surveillance et le poste de directeur(trice) général(e); |
| d) | réaliser des recherches quantitatives, des analyses et des rapports statistiques à un niveau agrégé. |
2. BASE JURIDIQUE
| a) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, point e), et les articles 6, 7, 8, 9 et 10 du règlement (UE) no 1024/2013. |
| b) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec la directive 2013/36/UE, telle que transposée en droit national. |
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les personnes nommées qui sont soumises à une évaluation dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| b) | les proches d’une personne nommée, tels que le ou la conjoint(e), partenaire enregistré(e), concubin(e), enfant, parent ou toute autre personne avec laquelle la personne nommée partage un logement; |
| c) | les associés d’une personne nommée dont les données à caractère personnel sont pertinentes pour l’évaluation de celle-ci, tels que les personnes qui occupent des postes de direction au sein de l’entité soumise à la surveillance prudentielle dans laquelle la nomination est effectuée ou qui en sont les bénéficiaires effectifs; |
| d) | les représentants autorisés d’une personne nommée dans le cadre de la procédure d’évaluation de l’honorabilité et des compétences. |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature de la personne nommée; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone de la personne nommée; |
| c) | les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination; |
| d) | les données professionnelles relatives à toute autre activité professionnelle de la personne nommée; |
| e) | le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues; |
| f) | les données financières de la personne nommée; |
| g) | la description des relations personnelles des proches de la personne nommée avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; |
| h) | les informations indiquant si une évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation; |
| i) | les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours; |
| j) | les informations, concernant la conduite observée par la personne nommée dans ses fonctions actuelles, qui peuvent présenter un intérêt dans le cadre des réévaluations; |
| k) | les enregistrements sonores de la voix de la personne nommée. |
ANNEXE II
Procédures d’autorisation
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
La BCE, en coopération avec les ACN, procède à des évaluations dans le cadre de procédures d’autorisation, comprenant l’acquisition de participations qualifiées, l’octroi et le retrait d’agréments pour l’accès à l’activité d’établissement de crédit, le droit d’établissement et la liberté de prestation de services des entités soumises à la surveillance prudentielle, les approbations ou exemptions d’approbation de compagnies financières holding (mixtes) comprenant des entités importantes soumises à la surveillance prudentielle ou des groupes importants soumis à la surveillance prudentielle, ainsi que les fusions et scissions faisant l’objet d’une notification.
Dans le cadre de chacune des procédures d’autorisation concernées, les données à caractère personnel sont traitées aux fins suivantes:
| a) | octroi d’agréments pour l’accès à l’activité d’établissement de crédit: évaluer si le demandeur d’un agrément satisfait aux exigences applicables du droit national et du droit de l’Union, ce qui peut inclure l’évaluation de l’organisation structurelle, des évaluations de l’honorabilité et des compétences des membres de l’organe de direction et des titulaires de postes-clés, ainsi que l’analyse de l’aptitude des actionnaires ou associés du demandeur; |
| b) | participations qualifiées: vérifier la solidité financière de l’acquisition envisagée et le caractère approprié du candidat acquéreur; |
| c) | retraits d’agréments pour l’accès à l’activité d’établissement de crédit: évaluer si une entité soumise à la surveillance prudentielle remplit les conditions de retrait d’un agrément en vertu du droit national et du droit de l’Union; |
| d) | droit d’établissement et liberté de prestation de services des entités soumises à la surveillance prudentielle: évaluer la conformité aux exigences applicables du droit national et du droit de l’Union de l’établissement d’une succursale ou de la prestation de services par des entités importantes soumises à la surveillance prudentielle et des entités moins importantes soumises à la surveillance prudentielle, de l’établissement d’une succursale dans un État membre participant par un établissement de crédit établi dans un État membre non participant, de la prestation de services en dehors des États membres participants par une entité importante ou une entité moins importante soumise à la surveillance prudentielle, de la prestation de services dans un État membre participant par un établissement de crédit établi dans un État membre non participant, et des modifications des renseignements concernant une succursale ou des modifications de la prestation de services effectuée par des entités importantes soumises à la surveillance prudentielle ou des entités moins importantes soumises à la surveillance prudentielle; |
| e) | approbations ou exemptions d’approbation de compagnies financières holding (mixtes): évaluer si les critères énoncés dans le droit national et le droit de l’Union applicables pour l’octroi d’une approbation ou d’une exemption d’approbation d’une compagnie financière holding (mixte) sont remplis, y compris l’évaluation des dispositifs internes et de la structure d’organisation du groupe dont la compagnie financière holding (mixte) fait partie, ainsi que la répartition interne des tâches au sein de ce groupe, et l’aptitude des membres de l’organe de direction et des actionnaires (ou des associés) de la compagnie financière holding (mixte). |
| f) | fusions et scissions réalisées par des établissements et par des compagnies financières holding (mixtes): évaluer si les critères énoncés dans le droit national et le droit de l’Union applicables à l’approbation des fusions et scissions sont remplis, y compris l’évaluation de la réputation et de la solidité financière des parties prenantes financières participant à l’opération envisagée et si l’entité résultant de celle-ci sera en mesure de se conformer et de continuer à se conformer aux exigences prudentielles. |
2. BASE JURIDIQUE
| a) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points a), b), c) et g), l’article 4, paragraphe 2, l’article 6, paragraphe 4, les articles 14 et 15, ainsi que l’article 17, paragraphe 1, du règlement (UE) no 1024/2013. |
| b) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 8, 11 à 17, et la partie V, titres 1, 2 et 3 du règlement (UE) no 468/2014 (BCE/2014/17). |
| c) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 8, 8 bis, 10 à 14, 18, 21 bis, 22, 23, 27 decies, 27 undecies, 33, 34, 35 et 39 de la directive 2013/36/UE, tels que transposés en droit national. |
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées.
| 3.1. | Octroi d’agrément pour l’accès à l’activité d’établissement de crédit:
|
| 3.2. | Participations qualifiées:
|
| 3.3. | Retraits d’agrément pour l’accès à l’activité d’établissement de crédit:
|
| 3.4. | Droit d’établissement et liberté de prestation de services des entités soumises à la surveillance prudentielle:
|
| 3.5. | Approbations ou exemptions d’approbation de compagnies financières holding (mixtes):
|
| 3.6. | Fusions et scissions réalisées par des établissements et par des compagnies financières holding (mixtes):
|
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone; |
| c) | les données professionnelles relatives à l’éducation, à la formation, ainsi qu’aux différents emplois et postes occupés; |
| d) | les données professionnelles relatives à toute autre activité professionnelle de la personne nommée; |
| e) | le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues; |
| f) | les données financières; |
| g) | la description des intérêts ou relations financiers et non financiers significatifs; |
| h) | les informations concernant un refus, un retrait, une révocation ou une cessation d’enregistrement, d’agrément, d’affiliation ou de licence pour l’exercice d’activités commerciales ou professionnelles; ou une radiation par un organe public ou de réglementation ou par une association ou un organe professionnel(le); |
| i) | les informations indiquant si une évaluation de la réputation a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation; |
| j) | les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne concernée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur l’évaluation en question; |
| k) | les enregistrements sonores de la voix de la personne concernée. |
ANNEXE III
Surveillance prudentielle continue des entités importantes soumises à la surveillance prudentielle
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
Dans le cadre de la surveillance prudentielle des entités importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:
| a) | veiller au respect, par les entités importantes soumises à la surveillance prudentielle, des dispositions pertinentes du droit de l’Union, y compris leurs transpositions en droit national, qui imposent des exigences prudentielles dans les domaines: i) des fonds propres, de la titrisation, des limites applicables aux grands risques, de la liquidité, de l’effet de levier, ainsi que des déclarations d’informations et des informations à destination du public sur ces sujets et ii) de la gouvernance, y compris des processus de gestion des risques, des mécanismes de contrôle interne, des politiques et pratiques de rémunération, ainsi que des procédures efficaces d’évaluation de l’adéquation du capital interne et de la liquidité, y compris des modèles fondés sur les notations internes; |
| b) | mener des contrôles prudentiels et des tests de résistance visant à déterminer si les entités importantes soumises à la surveillance prudentielle respectent les exigences pertinentes du droit de l’Union et, sur la base de ce contrôle prudentiel, imposer auxdites entités des exigences spécifiques et d’autres mesures; |
| c) | assurer la surveillance prudentielle des sociétés mères des entités soumises à la surveillance prudentielle établies dans l’un des États membres participants, y compris les compagnies financières holding (mixtes), et participer à la surveillance prudentielle sur base consolidée, notamment au sein des collèges d’autorités de contrôle, sans préjudice de la participation des ACN à ces collèges en tant qu’observateurs, des sociétés mères non établies dans l’un des États membres participants; |
| d) | participer à la surveillance prudentielle complémentaire des conglomérats financiers en ce qui concerne les entités soumises à la surveillance prudentielle qui en font partie et assumer un rôle de coordination lorsque la BCE est désignée en tant que coordinateur pour un conglomérat financier, conformément aux critères énoncés dans les dispositions pertinentes du droit de l’Union; |
| e) | exécuter des missions de surveillance prudentielle concernant les plans de redressement et l’intervention précoce; |
| f) | exécuter des missions de surveillance prudentielle liées à l’évaluation de participations importantes qui ne sont pas des participations qualifiées; |
| g) | exercer, à l’égard des entités importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit national qui relèvent des missions de la BCE, y compris l’approbation des acquisitions, par des entités importantes soumises à la surveillance prudentielle, de participations dans un établissement autre qu’un établissement de crédit ou un établissement de crédit situé en dehors de l’Union, des fusions ou scissions d’établissements de crédit, de l’acquisition ou cession d’actifs ou de passifs, de la modification des statuts des établissements de crédit, de la nomination des commissaires aux comptes extérieurs, des demandes d’informations et de rapports spécifiques auprès des commissaires aux comptes extérieurs, des projets d’externalisation, des opérations réalisées dans des pays tiers, de l’exercice des pouvoirs à l’égard des actionnaires, des crédits octroyés ou des limites de crédit imposées à des parties liées, des décisions stratégiques et de la création de groupes bancaires coopératifs; |
| h) | exercer, à l’égard des entités importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit de l’Union, y compris les options et facultés dont disposent les autorités compétentes en vertu du règlement (UE) no 575/2013 du Parlement européen et du Conseil (1) et de la directive 2013/36/UE, telle que transposée en droit national. |
2. BASE JURIDIQUE
L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points d), e), f), g), h) et i), l’article 4, paragraphe 3, et les articles 6 et 9 du règlement (UE) no 1024/2013.
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les membres du personnel d’une entité importante soumise à la surveillance prudentielle; |
| b) | les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs d’une entité importante soumise à la surveillance prudentielle; |
| c) | les membres du personnel ou les représentants des associations bancaires; |
| d) | les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales; |
| e) | d’autres tiers, tels que des personnes introduisant des réclamations ou des demandes d’informations concernant une entité importante soumise à la surveillance prudentielle; |
| f) | les représentants autorisés d’une personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| g) | les représentants autorisés de l’acquéreur d’une participation importante; |
| h) | les membres du personnel de l’acquéreur d’une participation importante. |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone; |
| c) | les données professionnelles relatives à l’éducation, à la formation, ainsi qu’aux différents emplois et postes occupés et à toute autre activité professionnelle; |
| d) | les données financières, par exemple dans le cadre de l’examen d’un dossier de crédit d’un client de la banque ou dans le cadre d’un prêt à un membre de l’organe de direction lorsqu’une approbation préalable est requise; |
| e) | le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues. |
(1) Règlement (UE) no 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et modifiant le règlement (UE) no 648/2012 (JO L 176 du 27.6.2013, p. 1, ELI: http://data.europa.eu/eli/reg/2013/575/oj).
ANNEXE IV
Procédures d’exécution et de sanction
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
Dans le cadre des procédures d’exécution et de sanction, les données à caractère personnel sont traitées aux fins suivantes:
| a) | enquête sur des infractions présumées à des exigences découlant d’actes pertinents directement applicables du droit de l’Union, commises par des entités soumises à la surveillance prudentielle, pour lesquelles des sanctions pécuniaires administratives peuvent être imposées en vertu de l’article 18, paragraphe 1, du règlement (UE) no 1024/2013, et élaboration des propositions relatives à l’imposition de telles sanctions; |
| b) | enquête sur des infractions présumées, commises par des entités soumises à la surveillance prudentielle, à des règlements ou décisions de la BCE pour lesquelles des sanctions peuvent être imposées en vertu de l’article 18, paragraphe 7, du règlement (UE) no 1024/2013; |
| c) | détermination, dans les cas relevant de l’article 18, paragraphe 5, du règlement (UE) no 1024/2013, s’il convient de demander à une ACN d’engager une procédure, et notification de cette demande à l’ACN; |
| d) | demande d’information en vertu de l’article 10 du règlement (UE) no 1024/2013 et de l’article 139 du règlement (UE) no 468/2014 (BCE/2014/17), et accomplissement des missions en vertu des articles 125 à 138 du règlement (UE) no 468/2014 (BCE/2014/17) dans le cadre de l’enquête sur les infractions présumées visées à l’article 18, paragraphes 1 et 7, du règlement (UE) no 1024/2013; |
| e) | détermination s’il convient de demander à une ACN, en vertu de l’article 136 du règlement (UE) no 468/2014 (BCE/2014/17), de saisir les autorités compétentes en cas d’infraction pénale présumée, à des fins d’enquête et d’éventuelles poursuites pénales, et notification de cette demande à l’ACN. |
2. BASE JURIDIQUE
| a) | L’article 5, paragraphe 1, points a) et b), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 9, 10, 11 et 18 du règlement (UE) no 1024/2013. |
| b) | L’article 5, paragraphe 1, points a) et b), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 113, paragraphe 3, et les articles 120 à 129, 134, 136 et 139 du règlement (UE) no 468/2014 (BCE/2014/17). |
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les membres du personnel de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure; |
| b) | les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure; |
| c) | les membres de l’organe de direction des entités cherchant à acquérir une participation qualifiée dans l’entité soumise à la surveillance prudentielle; |
| d) | les candidats acquéreurs d’une participation qualifiée; |
| e) | les représentants autorisés de l’entité soumise à la surveillance prudentielle faisant l’objet de la procédure. |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, la nationalité et la signature; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone; |
| c) | les données professionnelles relatives à l’éducation, à la formation et à l’emploi; |
| d) | les données financières; |
| e) | les détails des infractions (présumées) et des condamnations pénales. |
ANNEXE V
Inspections sur place des entités importantes soumises à la surveillance prudentielle
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
Dans le cadre des inspections sur place des entités importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:
| a) | effectuer des inspections sur place afin de mener des enquêtes approfondies sur les risques, les contrôles des risques et la gouvernance des entités soumises à la surveillance prudentielle; |
| b) | évaluer les modèles internes utilisés pour le calcul des exigences de fonds propres, notamment en ce qui concerne les méthodologies, l’adéquation économique, les risques, les contrôles des risques et la gouvernance; |
| c) | procéder à des examens de la qualité des actifs afin d’améliorer la transparence en ce qui concerne les expositions des entités soumises à la surveillance prudentielle, y compris en ce qui concerne l’adéquation des évaluations des actifs et des sûretés et les dispositions connexes. |
2. BASE JURIDIQUE
| a) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, point f), l’article 6, paragraphe 4, et les articles 10, 11 et 12 du règlement (UE) no 1024/2013. |
| b) | L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec les articles 143 à 146 du règlement (UE) no 468/2014 (BCE/2014/17). |
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les membres du personnel de l’entité soumise à la surveillance prudentielle; |
| b) | les actionnaires de l’entité soumise à la surveillance prudentielle; |
| c) | les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle; |
| d) | les clients de l’entité soumise à la surveillance prudentielle, leurs garants et les parties liées; |
| e) | les commissaires aux comptes extérieurs de l’entité soumise à la surveillance prudentielle; |
| f) | les prestataires de services et les consultants de l’entité soumise à la surveillance prudentielle; |
| g) | les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales. |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l‘objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les informations détaillées sur les clients de l’entité soumise à la surveillance prudentielle, notamment:
|
| b) | les informations détaillées sur les membres du personnel, les actionnaires et les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle, notamment:
|
| c) | les informations détaillées sur les commissaires aux comptes extérieurs, les prestataires de services et les consultants de l’entité soumise à la surveillance prudentielle ainsi que les informations détaillées sur les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales, notamment:
|
ANNEXE VI
Suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
Dans le cadre du suivi de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:
| a) | évaluation visant à déterminer si les ACN appliquent des normes élevées de surveillance de manière cohérente et vérification que des situations comparables aboutissent à des résultats comparables dans l’ensemble du MSU; |
| b) | réception de notifications ex ante et ex post de la part des ACN sur les procédures de surveillance essentielles et les projets de décisions essentiels concernant les entités moins importantes soumises à la surveillance prudentielle à haut risque et ayant une incidence forte, et fourniture de conseils aux ACN afin d’approfondir l’évaluation d’aspects précis de ces procédures; |
| c) | réception de notifications de la part des ACN concernant des circonstances particulières; |
| d) | réalisation d’examens thématiques destinés à fournir des informations ciblées sur la surveillance prudentielle exercée par les ACN en ce qui concerne des domaines de risque définis, au niveau de chaque entité moins importante soumise à la surveillance prudentielle ou de catégories d’entités moins importantes soumises à la surveillance prudentielle similaires, afin de garantir une surveillance prudentielle de haute qualité; |
| e) | participation aux inspections sur place des entités moins importantes soumises à la surveillance prudentielle, en vue de favoriser la compréhension, par la BCE, de la façon dont les ACN exercent la surveillance prudentielle. |
2. BASE JURIDIQUE
L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 6, paragraphes 4, 5 et 6, du règlement (UE) no 1024/2013.
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les membres du personnel des entités moins importantes soumises à la surveillance prudentielle; |
| b) | les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs des entités moins importantes soumises à la surveillance prudentielle; |
| c) | les membres du personnel ou les représentants des associations bancaires; |
| d) | les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales; |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone; |
| c) | les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination; |
| d) | les données professionnelles relatives à toute autre activité professionnelle de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| e) | les données financières de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| f) | le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues; |
| g) | la description des relations personnelles des proches de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; |
| h) | les informations indiquant si une évaluation de l’honorabilité et des compétences a déjà été effectuée par une autre autorité compétente ainsi que les informations concernant les résultats de cette évaluation; |
| i) | les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours; |
| j) | les informations, concernant la conduite observée par la personne nommée dans ses fonctions actuelles, qui peuvent être pertinentes dans le cadre des réévaluations. |
ANNEXE VII
Surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle
1. OBJET, NATURE ET FINALITÉ DU TRAITEMENT
Dans le cadre de la surveillance prudentielle des entités moins importantes soumises à la surveillance prudentielle, les données à caractère personnel sont traitées aux fins suivantes:
| a) | veiller au respect, par les entités moins importantes soumises à la surveillance prudentielle, des dispositions pertinentes du droit de l’Union, y compris leurs transpositions en droit national, qui imposent des exigences prudentielles dans les domaines: i) des fonds propres, de la titrisation, des limites applicables aux grands risques, de la liquidité, de l’effet de levier, ainsi que des déclarations d’informations et des informations à destination du public sur ces sujets et ii) de la gouvernance, y compris des processus de gestion des risques, des mécanismes de contrôle interne, des politiques et pratiques de rémunération, ainsi que des procédures efficaces d’évaluation de l’adéquation du capital interne et de la liquidité, y compris des modèles fondés sur les notations internes; |
| b) | mener des contrôles prudentiels et des tests de résistance visant à déterminer si les entités moins importantes soumises à la surveillance prudentielle respectent les exigences pertinentes du droit de l’Union et, sur la base de ce contrôle prudentiel, imposer auxdites entités des exigences spécifiques et d’autres mesures; |
| c) | assurer la surveillance prudentielle, sur base consolidée, des sociétés mères des entités moins importantes soumises à la surveillance prudentielle établies dans l’un des États membres participants, y compris les compagnies financières holding et les compagnies financières holding mixtes, et participer à la surveillance prudentielle sur base consolidée, notamment au sein des collèges d’autorités de contrôle, sans préjudice de la participation des ACN à ces collèges, en tant qu’observateurs, des sociétés mères non établies dans l’un des États membres participants; |
| d) | exécuter des missions de surveillance prudentielle concernant les plans de redressement et l’intervention précoce; |
| e) | réaliser des inspections sur place d’entités moins importantes soumises à la surveillance prudentielle; |
| f) | exercer, à l’égard des entités moins importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés par le droit national, y compris, entre autres, l’approbation d’acquisitions, par des entités moins importantes soumises à la surveillance prudentielle, de participations dans un établissement autre qu’un établissement de crédit ou un établissement de crédit situé en dehors de l’Union, des fusions ou scissions d’établissements de crédit, de l’acquisition ou la cession d’actifs ou de passifs, de la modification des statuts des établissements de crédit, de la nomination des commissaires aux comptes extérieurs, des demandes d’informations et de rapports spécifiques auprès des commissaires aux comptes extérieurs, des projets d’externalisation, des opérations réalisées dans des pays tiers, de l’exercice des pouvoirs à l’égard des actionnaires, des crédits octroyés ou des limites de crédit imposées à des parties liées, des décisions stratégiques et de la création de groupes bancaires coopératifs; |
| g) | exercer, à l’égard des entités moins importantes soumises à la surveillance prudentielle, les pouvoirs de surveillance prudentielle conférés aux autorités compétentes en vertu du règlement (UE) no 575/2013 et de la directive 2013/36/UE, telle que transposée en droit national. |
2. BASE JURIDIQUE
L’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 ou l’article 6, paragraphe 1, point e), et, dans certains États membres, point c), du règlement (UE) 2016/679, lus conjointement avec l’article 4, paragraphe 1, points b), d), g) et i), et l’article 6, paragraphe 6, du règlement (UE) no 1024/2013.
3. PERSONNES CONCERNÉES
Peuvent faire l’objet d’un traitement les données à caractère personnel relatives aux catégories suivantes de personnes concernées:
| a) | les membres du personnel des entités moins importantes soumises à la surveillance prudentielle; |
| b) | les membres de l’organe de direction, les clients et leurs garants, les actionnaires et les créanciers, les prestataires de services, les consultants et les commissaires aux comptes extérieurs des entités moins importantes soumises à la surveillance prudentielle; |
| c) | les membres du personnel ou les représentants des associations bancaires; |
| d) | les membres du personnel des institutions et organes de l’Union et des autorités nationales et internationales; |
| e) | d’autres tiers, tels que des personnes introduisant des réclamations ou des demandes d’informations concernant une entité moins importante soumise à la surveillance prudentielle; |
| f) | les représentants autorisés d’une personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences. |
4. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES
Peuvent faire l’objet d’un traitement les catégories suivantes de données à caractère personnel:
| a) | les données d’identification, telles que le nom, le numéro de carte d’identité/de passeport, la nationalité et la signature; |
| b) | les coordonnées, telles que l’adresse postale, l’adresse électronique et le numéro de téléphone; |
| c) | les données professionnelles relatives à l’éducation et à la formation reçues, ainsi qu’aux différents emplois et postes occupés par la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences et par les membres de l’organe de direction de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination; |
| d) | les données professionnelles relatives à toute autre activité professionnelle de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| e) | le casier judiciaire détaillé et les informations sur les enquêtes et procédures pénales, les procédures civiles et administratives et mesures disciplinaires pertinentes, y compris l’interdiction de gérer une société, les procédures de faillite ou d’insolvabilité ou les procédures analogues; |
| f) | les données financières de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences; |
| g) | la description des relations personnelles des proches de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences avec d’autres membres de l’organe de direction et/ou titulaires de postes-clés de l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; et leurs relations professionnelles et financières avec l’entité soumise à la surveillance prudentielle dans laquelle a lieu la nomination, sa société mère ou ses filiales; |
| h) | les informations indiquant si une évaluation de l’honorabilité, des connaissances, des compétences et de l’expérience a déjà été effectuée par une autre autorité compétente ainsi que les informations sur les résultats de cette évaluation; |
| i) | les observations faites par des membres du personnel de la BCE ou de l’ACN à propos de la performance de la personne nommée, réalisée dans le cadre de ses fonctions actuelles ou de toute fonction antérieure, susceptible d’avoir une incidence sur la procédure d’évaluation de l’honorabilité et des compétences en cours; |
| j) | les informations, concernant la conduite observée par la personne nommée dans des fonctions actuelles, qui peuvent être pertinentes dans le cadre des réévaluations; |
| k) | les données financières, par exemple dans le cadre de l’examen d’un dossier de crédit d’un client de la banque ou dans le cadre d’un prêt octroyé à un membre de l’organe de direction lorsqu’une approbation préalable est requise; |
| l) | les enregistrements sonores de la voix de la personne nommée dans le cadre d’une procédure d’évaluation de l’honorabilité et des compétences. |
ELI: http://data.europa.eu/eli/dec/2026/1942/oj
ISSN 1977-0693 (electronic edition)
Documents similaires
Décision (PESC) 2026/2103 du Conseil du 15 septembre 2026 modifiant la décision 2014/145/PESC concernant des mesures restrictives eu égard aux actions compromettant ou menaçant l’intégrité territoriale, la souveraineté et l’indépendance de l’Ukraine
15/09/2026
Décision — 52026PC0483
11/09/2026
Décision — 52026PC0482
11/09/2026
Proposition de DÉCISION DU CONSEIL relative à la signature de l’accord de facilitation des investissements durables entre l’Union européenne et la République de l’Équateur
11/09/2026