Protection des données
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
Protection des données
1. Les AES et les autorités compétentes ne sont autorisées à traiter des données à caractère personnel que lorsque cela est nécessaire à l’accomplissement de leurs obligations et missions respectives en vertu du présent règlement, en particulier en matière d’enquête, d’inspection, de demande d’informations, de communication, de publication, d’évaluation, de vérification, d’évaluation et d’élaboration de plans de supervision. Les données à caractère personnel sont traitées conformément au règlement (UE) 2016/679 ou au règlement (UE) 2018/1725, selon le cas.
2. Sauf disposition contraire dans d’autres actes sectoriels, les données à caractère personnel visées au paragraphe 1 sont conservées jusqu’à l’accomplissement des missions de contrôle applicables et, en tout état de cause, pendant une période maximale de quinze ans, sauf dans le cas de procédures judiciaires en cours nécessitant la conservation de ces données pendant une période plus longue.
Au Luxembourg, le double contrôle CSSF/CNPD est explicite : la loi du 1er aout 2018 portant organisation de la Commission nationale pour la protection des données donne competence pleine a la CNPD sur les traitements opérés par les entités financieres, y compris ceux declenches par une obligation DORA. La CSSF, de son cote, applique la loi du 1er aout 2018 sur l'organisation du marche et peut exiger des données au titre de DORA sans purger l'obligation RGPD de l'établissement. Concretement, en cas de breach lors d'une transmission a la CSSF, vous etes notifiable a la CNPD sous 72h au titre de l'article 33 RGPD.
Pratique Luxgap : tracez separement les bases legales 'obligation legale article 6(1)(c) RGPD + DORA article 56' pour chaque flux sortant CSSF, et conservez la preuve de minimisation dans votre registre article 30 RGPD.
