text: Loi du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier, Mémorial A 1998, N°112.

text: Directive

text: of the European Parliament and of the Council of 26 June 2013 on access to the activity of credit institutions and the prudential supervision of credit institutions, amending Directive

text: and repealing Directives

text: and

text: (OJ L 176, 27.6.2013, p. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).

text: Directive (EU) 2024/1619

text: of the European Parliament and of the Council of 31 May 2024 amending Directive

text: as regards supervisory powers, sanctions, third-country branches, and environmental, social and governance risks (OJ L, 2024/1619, 19.6.2024, ELI: http://data.europa.eu/eli/dir/2024/1619/oj).

text: Council Decision 98/415/EC of 29 June 1998

text: on the consultation of the European Central Bank by national authorities regarding draft legislative provisions (OJ L 189, 3.7.1998, p. 42, ELI: http://data.europa.eu/eli/dec/1998/415/oj).

text: Loi du 5 mai 2026 portant : 1° modification : a) de la loi modifiée du 5 avril 1993 relative au secteur financier ; b) de la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ; c) de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ; d) de la loi modifiée du 15 mars 2016 relative aux produits dérivés de gré à gré, aux contreparties centrales et aux référentiels centraux et modifiant différentes lois relatives aux services financiers ; 2° transposition : a) de la directive (UE) 2024/1619 du Parlement européen et du Conseil du 31 mai 2024 modifiant la directive 2013/36/UE en ce qui concerne les pouvoirs de surveillance, les sanctions, les succursales de pays tiers et les risques environnementaux, sociaux et de gouvernance ; b) de la directive (UE) 2024/2994 du Parlement européen et du Conseil du 27 novembre 2024 modifiant les directives 2009/65/CE, 2013/36/UE et (UE) 2019/2034 en ce qui concerne le traitement du risque de concentration découlant d’expositions sur des contreparties centrales et du risque de contrepartie des transactions sur instruments dérivés faisant l’objet d’une compensation centrale ; 3° mise en œuvre du règlement (UE) 2024/2987 du Parlement européen et du Conseil du 27 novembre 2024 modifiant les règlements (UE) n° 648/2012, (UE) n° 575/2013 et (UE) 2017/1131 par des mesures visant à atténuer les expositions excessives aux contreparties centrales de pays tiers et à améliorer l’efficacité des marchés de la compensation de l’Union, Mémorial A 2026, N°227. The ECB has commented on the draft law resulting in the Law of 5 May 2026 in Opinion

text: See Article 5 of the draft law (introducing a new Article 3-4 of the Law on the CSSF). 7 See Article 22 of the draft law (introducing a new section 3bis of the Law on the CSSF).

text: See Article 30 of the draft law (introducing a new Article 24-1 of the Law on the CSSF). 9 Loi du 7 décembre 2015 sur le secteur des assurances, Mémorial A 2015, N°229.

text: Council Regulation (EU) No 1024/2013 of 15 October 2013

text: conferring specific tasks on the European Central Bank concerning policies relating to the prudential supervision of credit institutions (OJ L 287, 29.10.2013, p. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj). 11 See paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: , paragraph 2.4 of Opinion

text: and paragraph 2.1.1 of Opinion

text: . All ECB opinions are published on EUR-Lex. 12 Code of Conduct for high-level ECB officials (OJ C 478, 16.12.2022, p. 3). 13 Guideline

text: (EU) 2021/2256

text: of the European Central Bank of 2 November 2021 laying down the principles of the Ethics Framework for the Single Supervisory Mechanism (ECB/2021/50) (OJ L 454, 17.12.2021, p. 21, ELI: http://data.europa.eu/eli/guideline/2021/2256/oj). 14 See Article 6(1) of the SSM Regulation. 15 See paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: , paragraph 2.5 of Opinion

text: and paragraph 2.1.2 of Opinion

text: . 16 See

text: Article 4

text: a of the CRD, as inserted by

text: Article 1

text: , point (4), of the CRD6.

text: See judgment of the Court of Justice of 29 April 2004, Commission v Council,

text: , ECLI:EU:C:2004:253, paragraphs 57 and 58; and judgment of the Court of Justice of 10 January 2006, Commission v Parliament and Council,

text: , ECLI:EU:C:2006:4, paragraphs 43 to 60. 18 See paragraph 2.1.3 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: , paragraph 2.6 of Opinion

text: and paragraph 2.1.3 of Opinion

text: . See also paragraph 2.6.2 of Opinion

text: of the European Central Bank of 21 June 2024 on a proposal for a regulation of the European Parliament and of the Council as regards certain reporting requirements in the fields of financial services and investment support (OJ C, C/2024/5048, 16.8.2024, ELI: http://data.europa.eu/eli/C/2024/5048/oj). 19 See

text: Article 4

text: a(2), fourth subparagraph, of Directive

text: , as inserted by the CRD6. This acknowledgement refers directly to the dismissal requirements included in

text: Article 4(2)

text: , second subparagraph, of the CRD6. 20 See paragraph 2.7 of Opinion

text: , paragraph 2.7 of Opinion

text: , paragraph 2.7 of Opinion

text: , paragraph 2.7 of Opinion

text: , paragraph 2.7 of Opinion

text: , paragraph 2.7 of Opinion

text: and paragraph 2.1.4 of Opinion

text: 22 legal personality and financial autonomy . The ECB notes that the Single Code and Guideline

text: (EU) 2021/2256

text: contain more granular provisions regarding independence, in particular highlighting that members of staff and members of their bodies should act honestly, independently and impartially. The CRD contains similar wording as inserted by the CRD6 that the draft law transposes explicitly. The ECB highlights that the draft law should be without prejudice to the Single Code and Guideline 2021/2256 in this respect. 2.2.4 Guideline

text: (EU) 2021/2256

text: requires national competent authorities to have mechanisms in place to assess and avoid possible conflicts of interest arising from post-employment occupational activities undertaken by their members of staff and the members of their bodies, including appropriate cooling off periods . In addition, the Single Code provides for cooling-off periods for members of the ECB’s Supervisory Board of one year (for gainful occupational activity with a significant or less significant credit institution) or six months (for gainful occupational activity with any other financial institution or with any entity engaged in lobbying in relation to the ECB, or consultancy and/or advocacy for the ECB or for any financial institution). With regard to gainful occupational activity with a significant or less significant credit institution, an extension of the cooling-off period up to a maximum of two years is possible where the possibility of conflicts of interest resulting from such gainful occupational activities so requires . The ECB notes that the draft law provides the legal basis for cooling-off 27 28 periods for the CSSF’s Executive Board members and members of staff . This includes a coolingoff period in the event of being hired or performing professional services for credit institutions with which the member of staff or the member of the CSSF’s Executive Board have been directly involved for the purposes of supervision or decision-making, including direct or indirect parent undertakings, subsidiaries or affiliates of those institutions, and entities providing services to such institutions or entities. This cooling-off period should be no less than six months for members of CSSF staff directly involved in the supervision of credit institutions and no less than 12 months for members of the CSSF’s Executive Board, all such members being considered directly involved in the supervision of credit institutions in the light of the collective character of the Executive Board and their participation therein . The cooling-off period for members of CSSF staff and members of the CSSF’s Executive Board in respect of recruitment or professional services for entities conducting lobbying or advocacy activities directed at the CSSF is three months . The ECB highlights that the draft law should be without prejudice to the Single Code, as it may be amended from time to time, and must not prevent

text: See comment on Article 1 of the draft law in the Commentary to the articles (Commentaire des articles, Parl. Doc. 8705/0, p. 35). 22 See Article 3.2 of the Single Code. 23 See Article 4 of Guideline

text: (EU) 2021/2256

text: . 24 See

text: Article 4

text: a(2), first subparagraph of the CRD, as inserted by Article 1(4) of the CRD6. 25 See Article 6(3) of Guideline

text: (EU) 2021/2256

text: . 26 See

text: Article 17.3

text: , point (b), of the Single Code. 27 See Article 15 of the draft law, introducing cooling-off periods for CSSF Executive Board members in a new

text: Article 10

text: - 1(4) to be added to the Law on the CSSF. 28 See Article 25 of the draft law, introducing cooling-off periods for CSSF staff members in a new Article

text: to be added to the Law on the CSSF. 29 See comment on Article 15 of the draft law in the Commentary to the articles (Commentaire des articles, Parl. Doc. 8705/0, p. 44). 30 See Articles 15 and 25 of the draft law, introducing the three months cooling-off periods for CSSF Executive Board members and members of CSSF staff in subparagraph 3 of the new Articles

text: and

text: to be added to the Law on the CSSF.

text: See also paragraph 2.2.3 of Opinion

text: and paragraph 2.2.3 of Opinion

text: . 32 See Article 17.1 and 17.2 of the Single Code. 33 See Articles 15 and 25 of the draft law, introducing the three months cooling-off periods for CSSF Executive Board members and members of CSSF staff in subparagraph 3 of the new Articles

text: and

text: to be added to the Law on the CSSF. 34 See Articles 15 and 25 of the draft law, introducing the cooling-off periods for CSSF Executive Board members and members of CSSF staff by way of the new Articles

text: and

text: to be added to the Law on the CSSF. 35 See Article 16 of the Single Code. 36 See Article 11 of Guideline

text: (EU) 2021/2256

text: . 37 See Article 10 of the Single Code. 38 See Articles 15 and 25 of the draft law, introducing a declaration of interest obligation for CSSF Executive Board members and members of CSSF staff in the new Article

text: to be added to the Law on the CSSF.

text: See

text: Article 5

text: , letter d), of the Law on the CSSF. 40 See Articles 16 and 25 of the draft law, introducing such obligation for the CSSF Executive Board under the new Articles

text: and

text: to be added to the Law on the CSSF. 41 See also paragraph 1.4 of Opinion

text: , paragraph 1.11 of Opinion

text: and paragraph 2.2.8 of Opinion

title: Opinion of the European Central Bank of 19 August 2026 on supervisory independence and prevention of conflicts of interest (CON/2026/27)

text: OPINION OF THE EUROPEAN CENTRAL BANK of 19 August 2026 on supervisory independence and prevention of conflicts of interest (

text: ) Introduction and legal basis

text: On 8 July 2026 the European Central Bank (ECB) received a request from the Luxembourg Ministry of Finance for an opinion on a draft law amending, inter alia, the Law of 23 December 1998 on establishing a Commission for the Supervision of the Financial Sector (hereinafter the ‘Law on the CSSF’) and transposing certain amendments to Directive

text: of the European Parliament and of the Council (hereinafter the ‘CRD’) introduced by

text: Directive (EU) 2024/1619

text: of the European Parliament and of the Council (hereinafter the ‘CRD6’), in particular

text: Article 4(4)

text: Article 4

text: a and Article 70(4) of the CRD as amended by the CRD6 (hereinafter the ‘draft law’). The ECB’s competence to deliver an opinion is based on Articles 127(4) and 282(5) of the Treaty on the Functioning of the European Union and

text: Article 2(1) of Council Decision 98/415/EC

text: , as the draft law relates to the specific tasks conferred upon the ECB concerning the prudential supervision of credit institutions pursuant to Article 127(6) of the Treaty. In addition, pursuant to Article 25.1 of the Statute of the European System of Central Banks and of the European Central Bank, the ECB may offer advice to and be consulted by the competent authorities of the Member States on the implementation of Union legislation relating to the prudential supervision of credit institutions, amongst other matters. In accordance with

text: Article 17.5

text: 1. Purpose of the draft law

text: 1.1 One of the main objectives of the draft law is to transpose into Luxembourg law the amendments to the CRD introduced by the CRD6 that have not yet been transposed by the Law of 5 May 2026 implementing, inter alia, the CRD6 in Luxembourg, in particular

text: Article 4(4)

text: Article 4

text: a and Article 70(4) of the CRD. 1.2 The draft law implements

text: Article 4(4)

text: and

text: Article 4

text: a of the CRD on enhanced governance, accountability and independence requirements and safeguards for competent authorities in supervisory matters by amending and supplementing the Law on the CSSF, according to which the Luxembourg Commission de Surveillance du Secteur Financier (CSSF, Commission for the Supervision of the Financial Sector) was created as a public body with legal personality and financial autonomy, placed under the direct authority of the Minister responsible for the financial centre. The measures aimed at strengthening independence and conflict-of-interest safeguards introduced by the draft law include cooling-off periods, restrictions on trading instruments issued by supervised entities, and limits on the duration of management mandates. The changes to the governance structure of the CSSF introduced by the draft law include more detailed appointment and dismissal criteria for members of the Executive Board and an increase in the maximum number of Executive Board members. 1.3 The draft law further seeks to supplement the Law on the CSSF by introducing a cooperation mechanism between the CSSF and the State Prosecutor in order to transpose Article 70(4) of the CRD . This especially targets cases where administrative misconduct may also give rise to criminal offences. 1.4 Other features of the draft law unrelated to the CRD include the modernisation of the governance framework of the CSSF, including various legislative updates, harmonisation measures and incorporation of public governance best practices, recognition and formalisation of key functions, including the CSSF’s contribution in ensuring financial education, independent internal audit functions and whistleblowing arrangements. 1.5 As part of these other governance framework modernisation measures, the draft law also introduces specific safeguards to reinforce due process and independence in administrative sanctioning procedures. In particular, the draft law establishes guarantees of independence and impartiality in the process leading up to the imposition of administrative sanctions . Under these safeguards, an

text: independent head of mission is designated by the director primarily in charge of the supervision of the controlled person or, as the case may be, the director for resolution, for each on-site inspection. The head of mission, as well as the agents conducting the on-site control, must be agents distinct from those in charge of the permanent individual supervision of the controlled person, thereby ensuring structural separation between ongoing supervisory functions and investigative and sanctioning functions. The head of mission investigates both inculpatory and exculpatory elements, acts independently and may not receive instructions from the CSSF’s Executive Board, or, as the case may be, the Resolution Board, regarding the organisation, conduct and management of the onsite inspection. Following completion of the investigation, the head of mission draws up a draft report setting out, inter alia, the facts, findings of the on-site inspection, relevant legal or regulatory provisions, and inculpatory and exculpatory elements discovered, with a view to enabling the Executive Board or the Resolution Board, as appropriate, to take a decision on whether or not to impose an administrative sanction. The draft report is examined together with the controlled person, who is invited to present initial observations at a closing meeting. Additionally, to further enhance the separation of supervisory and sanctioning functions, the director primarily in charge of the supervision of the controlled person, or, as the case may be, the director for resolution is precluded from sitting or deliberating when the Executive Board or the Resolution Board decides on the imposition of an administrative sanction. 1.6 In respect of these other governance framework modernisation measures, the draft law also introduces a settlement procedure for administrative sanctions . Under this procedure, the CSSF may accept a settlement for a violation of applicable rules of sufficient seriousness to attract an administrative sanction. Such settlement is only possible if the perpetrator of the violation in question has cooperated throughout the investigation and has given prior written consent to the settlement, including an acknowledgement of the facts that constitute the violation as described in the settlement. The benefitting party must waive its right of appeal prior to submission of the draft settlement to the Executive Board or, as the case may be, the Resolution Board. On acceptance by the CSSF, the settlement acquires the force of a final decision and may no longer be appealed. All settlements are published on the CSSF’s website in accordance with the applicable rules on publication of sanctions. 1.7 The draft law also provides for the transfer of the proceeds of the monetary penalties imposed by the CSSF to the State budget, with collection of these penalties by the Luxembourg tax administration. 1.8 Lastly, the draft law amends the Law of 7 December 2015 on the insurance sector to provide the Luxembourg Commissariat aux assurances (CAA, Insurance Commissariat) with tools and remedies similar to those given to the CSSF in the draft law.

text: 2. Supervisory independence and prevention of conflicts of interest

text: 2.1 General observations 2.1.1

text: Article 19 of Council Regulation (EU) No 1024/2013

text: (hereinafter the ‘SSM Regulation’) provides that when carrying out the tasks conferred on it by the SSM Regulation, the ECB and the national competent authorities acting within the Single Supervisory Mechanism (SSM) must act independently. Article 31(3) of the SSM Regulation furthermore requires the ECB, in cooperation with the national competent authorities, to: (a) establish and maintain comprehensive and formal procedures including ethics procedures and proportionate periods to assess in advance and prevent possible conflicts of interest resulting from subsequent employment within two years of members of the Supervisory Board; and (b) provide for appropriate disclosures. Those procedures are without prejudice to the application of stricter national rules . The legal basis for those provisions of the SSM Regulation is Article 127(6) of the Treaty. 2.1.2 In view of this independence and these requirements of the SSM Regulation, the ECB has established an ethics framework to ensure the independence of national competent authorities, such as the CSSF, when assisting the ECB in carrying out the tasks conferred on it by the SSM Regulation. This ethics framework includes the ECB’s Code of Conduct for high-level ECB officials (hereinafter the ‘Single Code’), which applies, among others, to the members of the Supervisory Board of the ECB when exercising their functions as members of a high-level ECB body, and Guideline

text: (EU) 2021/2256

text: of the European Central Bank (ECB/2021/50) , which is addressed to the national competent authorities of the SSM and establishes ethics requirements applicable to the members of their bodies and the members of staff of the national competent authorities. In view of the responsibility of the ECB for the effective and consistent functioning of the SSM , the national competent authorities must comply with Guideline

text: (EU) 2021/2256

text: (ECB/2021/50) . 2.1.3 In contrast to the ethics framework, which is ultimately based on Article 127(6) of the Treaty, the CRD6, including its provision on the supervisory independence of competent authorities , is based on Article 53(1) of the Treaty. A legal act based on this provision cannot alter the rights and obligations of the ECB and the national competent authorities when carrying out the tasks conferred on them by the SSM Regulation based on Article 127(6) of the Treaty. It follows from settled case-

text: law of the Court of Justice of the European Union that the different legal bases, namely

text: Article 53(1)

text: and Article 127(6) of the Treaty, cannot be combined as the legal basis for a legal act, in view of the different procedures involved. In particular, measures under Article 53(1) of the Treaty are adopted by the European Parliament and the Council, acting in accordance with the ordinary legislative procedure, and after consulting the Economic and Social Committee (and, if relevant, the ECB in accordance with Articles 127(4) and 282(5) of the Treaty). By contrast, regulations under Article 127(6) of the Treaty are adopted by the Council alone, by way of a special legislative procedure, in which the Council acts unanimously, after consulting the European Parliament and the ECB . 2.1.4 Hence, the amendments made by the CRD6 are without prejudice to the ethics framework, which the ECB has established to ensure the independence of the national competent authorities in the context of the SSM, as both frameworks have their own scope and legal basis. The Union legislator acknowledged this through the CRD6’s amendments to the CRD, which provide that

text: Article 4

text: a(2) of the CRD is without prejudice to the rights and obligations of the national competent authorities pursuant to the SSM established by the SSM Regulation . For the avoidance of doubt, the national legislator may wish to clarify this within the text of the draft law. From an ECB perspective, the CRD6 provisions may nevertheless serve as guidance for establishing safeguards for the independence of the ECB and the national competent authorities when carrying out the tasks conferred on them by the SSM Regulation . 2.2 Specific observations 2.2.1 The Single Code applies, inter alia, to the members of the Supervisory Board of the ECB, including the CSSF representative, when exercising their functions as members of the Supervisory Board of the ECB. It also applies to persons replacing the members in meetings of the Supervisory Board in the performance of their duties and responsibilities relating to that high-level body where explicitly provided for in the Single Code. 2.2.2 National competent authorities, including the CSSF, are required to take the necessary measures to implement and comply with Guideline

text: (EU) 2021/2256

text: and must inform the ECB of any obstacles that national law poses to their implementation. 2.2.3 Regarding independence, the draft law highlights that the existing legal framework already provides that the CSSF enjoys independence in view of its status as an independent public institution with

text: the possibility of imposing and extending a cooling off period of a maximum of two years to members of the CSSF’s Executive Board that serve as members of the ECB’s Supervisory Board when such an extended period is applied based on the Single Code . 2.2.5 In addition, the Single Code sets limits on the establishment of post-employment relationships not only directly with significant or less significant credit institutions, but also with other financial institutions and with ‘any entity engaged in lobbying in relation to the ECB, or consultancy and/or advocacy for the ECB or for any [supervised] institution’ . The ECB notes that, under the draft law, the cooling-off period only applies in respect of employment or the provision of professional services with (a) credit institutions with which the member of staff or the member of the CSSF’s Executive Board has been directly involved for the purposes of supervision or decision-making, including the direct or indirect parent undertakings, subsidiaries or affiliates of those institutions; (b) entities providing services to entities referred to in (a); and (c) entities conducting lobbying or advocacy activities directed at the CSSF on matters for which the member of the CSSF’s Executive Board or the member of staff of the CSSF was responsible during their employment or term of office. The broader category of ‘other financial institutions’ is not included . Furthermore, the draft law does not cover lobbying and advocacy activities for supervised institutions. The ECB therefore considers that the requirements of the draft law are less restrictive than those of the Single Code. The ECB highlights that the draft law should be without prejudice to the Single Code, as it may be amended from time to time, and must allow the application of the cooling-off period also with respect to other financial institutions and entities conducting lobbying and advocacy activities for supervised institutions with regard to members of the CSSF’s Executive Board that serve as members of the ECB’s Supervisory Board. 2.2.6 The draft law limits the prohibition to financial instruments issued by entities subject to the supervision of the CSSF, their direct or indirect parent companies, their subsidiaries or affiliated companies, save for some exceptions, and does not extend to instruments issued by other regulated entities not supervised by the CSSF . The ECB therefore considers that the requirements of the draft law are 35 36 less restrictive than the requirements set out in the Single Code and Guideline

text: (EU) 2021/2256

text: . The ECB highlights that the draft law should be without prejudice to the Single Code, as it may be amended from time to time, and to Guideline

text: (EU) 2021/2256

text: , and must not prevent the possibility of extending such prohibition to financial instruments issued by other regulated institutions. 2.2.7 The Single Code also contains rules, inter alia, on declarations of interests , which are more restrictive than the provisions of the draft law . The ECB notes that the application of the draft law’s

text: less restrictive provisions would be without prejudice to the application of the stricter rules of the Single Code to those individuals who are subject to the Single Code. 2.2.8 The CSSF’s Supervisory Board must also approve Internal Rules and Regulations for the Executive Board and the Executive Board or, as the case may be, the director for resolution, specifies in Internal Rules and Regulations the modalities for the prevention of conflicts of interests between, on the one hand, members of the CSSF’s Executive Board and members of its staff and, on the other hand, supervised entities . The ECB notes the draft law could be amended to explicitly empower the competent bodies of the CSSF to adopt further provisions on conflicts of interest and incompatibilities following termination of office by means of internal regulatory acts (such as the Internal Rules and Regulations) to fulfil the CSSF’s obligations arising from its membership in the SSM specifically .

text: Done at Frankfurt am Main, 19 August 2026.

text: [signed]

text: The President of the ECB

text: Christine LAGARDE


text: 2 konsekvensbedömning avseende dataskydd, som har godkänts av dataskyddsstyrelsen , angett kriterier som kan göra det lättare att avgöra när behandlingsverksamheter omfattas av kravet på en konsekvensbedömning avseende dataskydd. Enligt artikel 29-arbetsgruppens riktlinjer

text: kan en personuppgiftsansvarig i de flesta fall anse att det krävs en konsekvensbedömning om en behandling uppfyller två kriterier, men i vissa fall kan en personuppgiftsansvarig anse att det krävs en konsekvensbedömning även om behandlingen endast uppfyller ett av dessa kriterier. De förteckningar som den europeiska datatillsynsmannen utarbetar bidrar till samma mål, dvs. att identifiera behandlingsverksamheter som sannolikt leder till en hög risk och behandlingsverksamheter för vilka det därför krävs en konsekvensbedömning avseende dataskydd. De kriterier som har utarbetats i artikel 29-arbetsgruppens riktlinjer är relevanta.

text: Artikel 29-arbetsgruppen, Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679 (

text: rev. 1). Europeiska dataskyddsstyrelsen, Godkännande 1/2018.

identifier: Rekommendation 01/2019

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Rekommendation 01/2019 om utkastet till förteckning från Europeiska datatillsynsmannen över de behandlingsverksamheter som omfattas av kravet på en konsekvensbedömning avseende dataskydd (artikel 39.4 i förordning (EU) 2018/1725)

serie: rekommendationer

text: Europeiska dataskyddsstyrelsen har antagit denna rekommendation

type: rubrik

text: med beaktande av artikel 70.1e i

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning),

type: stycke

text: med beaktande av

text: artikel 39.4 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018

text: om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning

text: (EG) nr 45/2001

text: och beslut nr

text: (nedan kallad förordning 2018/1725),

text: med beaktande av

text: artikel 12

text: och artikel 22 i dess arbetsordning av den 25 maj 2018, ändrad den 23 november 2018, och

text: av följande skäl:

text: (1) Europeiska dataskyddsstyrelsens viktigaste uppgift är att se till att förordning

text: (EU) 2016/679

text: tillämpas på ett enhetligt sätt i hela Europeiska ekonomiska samarbetsområdet (EES). I enlighet med

text: artikel 70.1 i den allmänna dataskyddsförordningen

text: ska Europeiska dataskyddsstyrelsen på begäran av en av sina ledamöter behandla frågor om tillämpningen av denna förordning och utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av denna förordning. I artikel 39.6 i förordning 2018/1725 föreskrivs att Europeiska datatillsynsmannen ska begära att Europeiska dataskyddsstyrelsen, i enlighet med

text: artikel 70.1 e i dataskyddsförordningen

text: , undersöker utkasten till förteckningar över behandlingsverksamheter som omfattas kravet på en konsekvensbedömning avseende dataskydd i enlighet med artikel 39.4 i förordning 2018/1725. Denna skyldighet gäller i den utsträckning som förteckningen tar upp behandlingsverksamheter som en personuppgiftsansvarig, i den mening som avses i artikel 3.8 i förordning 2018/1725, utför gemensamt med en eller flera andra personuppgiftsansvariga än unionsinstitutioner och unionsorgan. Syftet med denna rekommendation är således att vara konsekvent med den hållning som tidigare intagits i förhållande till utkast till förteckningar över tillsynsmyndigheter. Dataskyddsstyrelsen strävade efter att nå konsekvens genom att för det första kräva att tillsynsmyndigheterna medtar vissa typer av behandlingsverksamheter i sina förteckningar, för det andra genom att begära att de avlägsnar vissa kriterier som dataskyddsstyrelsen inte anser nödvändigtvis innebär att behandlingen medför hög risk för de registrerade och slutligen genom att begära att tillsynsmyndigheterna ska använda vissa kriterier på ett enhetligt sätt. (4) Den personuppgiftsansvarige är endast skyldig att göra en konsekvensbedömning avseende dataskydd i enlighet med artikel 39.1 i förordning 2018/1725 om behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter”. I artikel 39.3 i förordning 2018/1725 anges vad som sannolikt leder till en hög risk. Denna är en icke uttömmande förteckning, som motsvarar ordalydelsen i

text: artikel 35.3 i dataskyddsförordningen

text: . Artikel 29-arbetsgruppen har i sina riktlinjer för

text: HÄRIGENOM REKOMMENDERAS FÖLJANDE.

text: 1 SAMMANFATTNING AV OMSTÄNDIGHETERNA

text: 1. Europeiska datatillsynsmannen lämnade, med tillämpning av artikel 39.4 i förordning 2018/1725, in sitt utkast till förteckning till Europeiska dataskyddsstyrelsen den 18 mars 2019, och tillhandahöll en reviderad version den 21 juni 2019.

text: 2. Det dokument som lämnades in av Europeiska datatillsynsmannen inbegrep också en del som rörde artikel 39.5 i förordning 2018/1725. I det reviderade utkastet sägs det uttryckligen att den

text: artikel 39.5

text: förteckning som ingår i utkastet endast är tillämplig i situationer där unionsinstitutioner eller unionsorgan agerar personuppgiftsansvariga tillsammans med någon annan eller på egen hand. I synnerhet omfattar utkastet till

text: artikel 39.5

text: -förteckning behandlingsverksamheter med anknytning till unionsinstitutioner eller unionsorgan som behandlar uppgifter inom ramen för sin interna förvaltning

text: 3. Europeiska dataskyddsstyrelsen noterar således att denna andra del av dokumentet inte omfattas av tillämpningsområdet för artikel 39.6 i förordning 2018/1725. I denna bestämmelse fastställs att skyldigheten att begära en rekommendation av Europeiska dataskyddsstyrelsen endast är tillämplig på punkter som rör behandlingsverksamheter där en personuppgiftsansvarig som omfattas av förordning 2018/1725 agerar gemensamt med en eller flera andra personuppgiftsansvariga dom inte är unionsinstitutioner och unionsorgan. Europeiska dataskyddsstyrelsen kommer således inte att kommentera denna del av utkastet till dokument.

text: 2 BEDÖMNING

text: 2.1 Europeiska dataskyddsstyrelsens övergripande resonemang angående den inlämnade förteckningen

text: 4. Den förteckning som har lämnats in till Europeiska dataskyddsstyrelsen tolkas som en ytterligare specifikation av artikel 39.1 i förordning 2018/1725, som ska ha företräde under alla omständigheter. Förteckningen bör dock inte betraktas som uttömmande.

text: 5. Europeiska dataskyddsstyrelsen noterar artikel 39.10 i förordning 2018/1725, som föreskriver att det inte krävs någon konsekvensbedömning avseende dataskydd om den specifika behandlingsåtgärden eller åtgärdskombinationen i fråga har en rättslig grund i en rättsakt som antagits på grundval av fördragen och om en konsekvensbedömning avseende dataskydd redan har genomförts som en del av en allmän konsekvensbedömning som föregick antagandet av den rättsakten. I detta fall ska artikel

text: inte vara tillämpliga, såvida inte rättsakten i fråga föreskriver annat.

text: 6. Denna rekommendation rör generellt sett inte punkter som Europeiska datatillsynsmannen tagit upp, men som bedömts ligga utanför tillämpningsområdet för artikel 39.6 i förordning 2018/1725. Här avses punkter som inte rör en behandlingsverksamheter där en registeransvarig agerar tillsammans med en eller flera registeransvariga som inte unionsinstitutioner eller unionsorgan,. Eftersom Europeiska datatillsynsmannen har beslutat att anta en företeckning för båda typerna av behandlingsverksamheter, är denna rekommendation således tillämplig på båda kategorierna av behandlingsverksamheter.

text: 7. Rekommendationen syftar till en anpassning till kärnan av behandlingsverksamheter, som styrelsen uppmanade alla tillsynsmyndigheter att lägga till sin förteckning, om den inte redan fanns där.

text: 8. Detta innebär att styrelsen rekommenderar Europeiska datatillsynsmannen att kräva att en konsekvensbedömning avseende dataskydd genomförs för ett begränsat antal behandlingsverksamheter som ska definieras på ett samordnat sätt.

text: 9. När det inte sägs något i denna rekommendation om punkter i den inlämnade förteckningen över behandlingsverksamheter som omfattas av krav på en konsekvensbedömning avseende dataskydd innebär detta att Europeiska dataskyddsstyrelsen inte uppmanar Europeiska datatillsynsmannen att vidta ytterligare åtgärder.

text: 10. Slutligen påminner Europeiska dataskyddsstyrelsen om att det är avgörande med insyn för personuppgiftsansvariga och personuppgiftsbiträden. För att förtydliga punkterna i förteckningen rekommenderar Europeiska dataskyddsstyrelsen att man för varje typ av behandling i förteckningarna tar med en uttrycklig hänvisning till riktlinjernas kriterier. Det skulle vara ett sätt att förbättra insynen.

text: 2.2 Analys av utkastet till förteckning

text: 11. Med beaktande av a. att det enligt artikel 39.1 i förordning 2018/1725 krävs en konsekvensbedömning avseende dataskydd när behandlingen sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, och b. att artikel 39.3 i förordning 2018/1725 innehåller en förteckning som inte är uttömmande över de typer av behandling som kräver en konsekvensbedömning avseende dataskydd: utfärdar styrelsen följande rekommendationer: KÄNSLIGA UPPGIFTER

text: 12. I utkastet till förteckning anges ”känsliga uppgifter” som ett kriterium i enlighet med följande: ”Känsliga uppgifter: Uppgifter som avslöjar etniskt ursprung eller ras, politisk åsikter, religiös tro eller politisk åskådning, medlemskap i fackförening, genetiska data, biometriska data för entydig identifiering av en fysisk person, uppgifter rörande hälsa, sexualliv eller sexuell läggning, fällande brottmålsdomar eller brott och därtill knutna säkerhetsåtgärder eller uppgifter som anses känsliga av andra skäl.”

text: 13. Även om ordalydelsen i mycket liknar den i riktlinjerna för konsekvensbedömning avseende dataskydd enligt A29WP

text: rev.01, som godkänts av Europeiska dataskyddsstyrelsen, finns det en betydande skillnad. Där utkastet till förteckning använder ordalydelsen ”eller anses känsliga av andra skäl”, anges i riktlinjerna ”uppgifter av starkt personlig karaktär”

text: 14. Styrelsen noterar att dataskyddsförordningen inte använder termen ”känsliga uppgifter” i någon av artiklarna, även om den används i två av skälen. Termen uppfattas så att den uteslutande betecknar de kategorier av uppgifter som anges i artiklarna

text: och

text: i dataskyddsförordningen. För att undvika förvirring rekommenderar styrelsen Europeiska datatillsynsmannen att ändra formuleringen ”anses känsliga av andra skäl” genom att använda den exakta ordalydelsen i konsekvensbedömningen avseende dataskydd. STORSKALIG BEHANDLING

text: 15. Styrelsen noterar att Europeiska datatillsynsmannen hänvisar till en EU-institutions interna telefonregister som ett motexempel på storskalig behandling. Utan att det påverkar frågan om huruvida en konsekvensbedömning avseende dataskydd verkligen behövs, är det inte klart varför en EU-institutions telefonregister inte i sig skulle omfattas av begreppet ”storskalig behandling”, särskilt eftersom det potentiellt kan innehålla personuppgifter rörande ett stort antal individer. Europeiska dataskyddsstyrelsen erinrar om att begreppet ”stor” också avser proportionen av den relevanta populationen, i enlighet med definitionen i Artikel 29-arbetsgruppens riktlinjer om dataskyddsombud, vilka antogs i december 2016, reviderades den 5 april 2017, och godkändes av Europeiska dataskyddsstyrelsen. Europeiska dataskyddsstyrelsen rekommenderar användning av ett annat exempel. DATAMÄNGDER FRÅN OLIKA DATABEHANDLINGSOPERATIONER SOM MATCHAS ELLER KOMBINERAS

text: 16. Europeiska dataskyddsstyrelsen noterar att det exempel som används för behandlingsverksamhet som inbegriper datamängder från olika databehandlingsoperationer som matchas eller kombineras kan ge upphov till tvivel om dess lagenlighet enligt förordning 2018/1725, med hänsyn till hur beskrivningen ser ut. Medan Europeiska dataskyddsstyrelsen inte är i den position och inte har den kompetens som krävs för att bedöma denna lagenlighet, rekommenderar den för tydlighetens skull att man använder ett annat exempel. SÅRBARA REGISTRERADE

text: 17. Styrelsen noterar att Europeiska dataskyddsombudsmannen i sitt beslut använder ett motexempel med personal vid EU:s institutioner som ställs mot de standardförfaranden som fastställs i tjänsteföreskrifterna. Styrelsen erinrar om att anställda är förtecknade som sårbara registrerade i riktlinjerna för konsekvensbedömning avseende dataskydd enligt A29WP

text: rev.01, som godkänts av Europeiska dataskyddsstyrelsen. Även om det kan hävdas att ojämlika styrkeförhållanden mellan en arbetsgivare och en anställd är mindre påtagliga inom ramen för standardförfaranden enligt relevanta tjänsteföreskrifter, kan man inte utgå från att så alltid är fallet, särskilt när de anställda inte har något nämnvärt inflytande på innehållet i den nämnda bestämmelserna, Dessutom står det inte klart vilka förfaranden som kan anses som ickestandard, dvs fall där konsekvensbedömning avseende dataskydd kan komma att krävas, vilket kan resultera i betydande förvirring. Av dessa skäl rekommenderar styrelsen att Europeiska datatillsynsmannen ersätter det givna motexemplet med ett annat.

text: 3 SLUTSATS

text: 18. Styrelsen uppmanar Europeiska datatillsynsmannen att göra följande ändringar i sin förteckning:  Beträffande känsliga uppgifter: Styrelsen rekommenderar Europeiska datatillsynsmannen att ändra formuleringen ”anses känsliga av andra skäl” genom att använda den exakta ordalydelsen i riktlinjerna i konsekvensbedömningen avseende dataskydd  Beträffande uppgifter som behandlas i stor skala: Styrelsen rekommenderar Europeiska datatillsynsmannen att ändra sin förteckning genom att använda ett annat motexempel.  Vad gäller datamängder från olika databehandlingsoperationer som matchas eller kombineras Styrelsen rekommenderar Europeiska datatillsynsmannen att ändra sin förteckning genom att använda ett annat exempel.  Vad gäller sårbara registrerade: Styrelsen rekommenderar Europeiska datatillsynsmannen att ändra sin förteckning genom att använda ett annat motexempel. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)

type: vagledning

utgivare: edpb