ORIENTAÇÃO (UE) 2016/256 DO BANCO CENTRAL EUROPEU

de 5 de fevereiro de 2016

relativa à extensão das regras comuns e normas mínimas destinadas à proteção da confidencialidade da informação estatística compilada pelo Banco Central Europeu, com a assistência dos bancos centrais nacionais, às autoridades nacionais competentes de Estados-Membros participantes e ao Banco Central Europeu, no exercício das suas funções de supervisão (BCE/2016/1)

O CONSELHO DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 127.o, n.o 6,

Tendo em conta o Regulamento (UE) n.o 1024/2013 do Conselho, de 15 de outubro de 2013, que confere ao Banco Central Europeu atribuições específicas no que diz respeito às políticas relativas à supervisão prudencial das instituições de crédito (1), nomeadamente o artigo 6.o, n.o 1, conjugado com o n.o 7,

Considerando o seguinte:

ADOTOU A PRESENTE ORIENTAÇÃO:

Artigo 1.o

Definições

Para efeitos da presente orientação, entende-se por:

1.   «Informação estatística confidencial»: a informação estatística classificada como confidencial de acordo com a definição constante do artigo 1.o, n.o 12, do Regulamento (CE) n.o 2533/98, e que tenha sido compilada de acordo com as disposições e para os efeitos definidos nesse Regulamento;

2.   «Medidas de proteção»: os procedimentos adequados à proteção, tanto lógica como física, de informação estatística confidencial;

3.   «Medidas de proteção lógica»: as medidas impeditivas do acesso não autorizado à informação estatística confidencial em si;

4.   «Medidas de proteção física»: as medidas impeditivas do acesso não autorizado a uma área física e a suportes físicos;

5.   «Área física»: qualquer parte do edifício onde se encontrem instalados os meios físicos destinados à armazenagem ou à transmissão da informação estatística confidencial;

6.   «Meios físicos»: cópias (em papel) e material informático (incluindo periféricos e dispositivos de memória) utilizados na armazenagem ou no processamento da informação estatística confidencial;

7.   «Autoridade nacional competente»: uma autoridade nacional competente, na aceção do artigo 2.o, n.o 2, do Regulamento (CE) n.o 1024/2013;

8.   «Inquirido»: um inquirido, na aceção do artigo 1.o, n.o 2, do Regulamento (CE) n.o 2533/98.

Artigo 2.o

Proteção lógica

1.   O BCE e as ANC definirão e aplicarão individualmente as regras de autorização e as medidas de proteção lógica regendo ao acesso à informação estatística confidencial por parte dos respetivos funcionários.

2.   Sem prejuízo da continuidade da função de administração do sistema, a medida mínima de proteção a aplicar deve consistir na atribuição de um código único de identificação do utilizador e de uma palavra-passe personalizada.

3.   Devem ser tomadas todas as medidas adequadas para garantir a organização da informação estatística confidencial de maneira a que quaisquer dados publicados se refiram, pelo menos, a três agentes económicos. Sempre que a parte atribuível a um ou dois agentes económicos numa observação seja suficiente para permitir que os mesmos sejam indiretamente identificados, os dados publicados devem ser apresentados de modo a evitar uma identificação indireta. Estas regras não serão aplicáveis se os inquiridos, ou outras pessoas singulares ou coletivas, entidades ou sucursais suscetíveis de ser identificados, tiverem expressamente consentido na divulgação.

Artigo 3.o

Proteção física

Sem prejuízo do disposto no artigo 4.o da presente orientação, o BCE e as ANC definirão e aplicarão individualmente as regras de autorização e as medidas de proteção física referentes ao acesso qualquer área física por parte dos respetivos funcionários.

Artigo 4.o

Acesso de terceiros

Em caso de acesso de terceiros a informação estatística confidencial ao abrigo do artigo 8.o, n.o 4-A, do Regulamento (CE) n.o 2533/98, o BCE e as ANC devem assegurar por meios adequados — sempre que possível por via contratual — a observância, por parte desses terceiros, dos requisitos de confidencialidade estabelecidos no Regulamento (CE) n.o 2533/98 e na presente orientação.

Artigo 5.o

Transmissão de dados e redes

1.   Nas circunstâncias em que o artigo 8.o do Regulamento (CE) n.o 2533/98 o permita, a informação estatística confidencial será transmitida para o exterior por via eletrónica, depois de ter sido encriptada.

2.   O BCE e as autoridades nacionais competentes (ANC) definirão individualmente as regras de autorização para este tipo de transmissão de informação estatística confidencial.

3.   No que se refere às redes internas, serão tomadas medidas de proteção apropriadas para evitar o acesso não autorizado.

4.   O acesso interativo a informação estatística confidencial a partir de redes não protegidas deve ser proibido.

Artigo 6.o

Elaboração de documentação e sensibilização dos funcionários

O BCE e as ANC devem assegurar a elaboração de documentação contendo a totalidade das respetivas regras e procedimentos relacionados com a proteção de informação estatística confidencial, bem como a atualização da mesma. Os membros do pessoal envolvido devem ser informados da importância da proteção da informação estatística confidencial e mantidos ao corrente de todas as regras e procedimentos relacionados com o seu trabalho.

Artigo 7.o

Prestação de informação

1.   As ANC devem comunicar ao BCE, no mínimo uma vez por ano, os problemas com que se depararam depois do último reporte, bem como as medidas tomadas para lhes fazer face e as melhorias planeadas em matéria de proteção de informação estatística confidencial. O BCE também elaborará um relatório anual versando os mesmos aspetos.

2.   O Conselho do BCE apreciará a execução da presente orientação pelo menos uma vez por ano. No âmbito da preparação para esta avaliação, o BCE deve ser informado das regras de autorização e dos tipos de medidas de proteção referidas nos artigos 2.o, 3.o e 5.o da presente orientação que foram adotadas pelas ANC. O BCE dará conhecimento ao Conselho do BCE da aplicação dessas regras e medidas de proteção tanto por parte das ANC como do próprio BCE.

Artigo 8.o

Produção de efeitos e implementação

1.   A presente orientação produz efeitos no vigésimo dia a contar da sua publicação no Jornal Oficial da União Europeia.

2.   As ANC e o BCE devem zelar por que as disposições da presente orientação sejam igualmente aplicáveis aos membros dos respetivos órgãos de decisão.

3.   O BCE e as ANC devem tentar, tanto quanto legalmente permissível, alargar às pessoas envolvidas no desempenho de funções de supervisão que não sejam membros do seu pessoal as obrigações por si definidas em cumprimento do disposto nesta orientação.

Artigo 9.o

Destinatários

As ANC e o BCE, este no exercício das atribuições que lhe são conferidas pelo Regulamento (UE) n.o 1024/2013, e em ambos os casos na medida em que recebam informação confidencial da parte do SEBC, são os destinatários da presente orientação.

(1)  JO L 287 de 29.10.2013, p. 63.

(2)  Regulamento (CE) n.o 2533/98 do Conselho, de 23 de novembro de 1998, relativo à compilação de informação estatística pelo Banco Central Europeu (JO L 318 de 27.11.1998, p. 8).

(3)  Orientação BCE/1998/NP28, de 22 de dezembro de 1998, relativa às regras comuns e normas mínimas destinadas à proteção da confidencialidade da informação estatística de ordem individual compilada pelo Banco Central Europeu com a assistência dos bancos centrais nacionais (JO L 55 de 24.2.2001, p. 72).

(4)  Regulamento (UE) 2015/373 do Conselho, de 5 de março de 2015, que altera o Regulamento (CE) n.o 2533/98 relativo à compilação de informação estatística pelo Banco Central Europeu (JO L 64 de 7.3.2015, p. 6).