Les garanties organisationnelles et techniques mises en place au sein de la BCE pour prévenir les abus ou le traitement illicite de données à caractère personnel comprennent:
a) en ce qui concerne les personnes:
i) le devoir pour toutes les personnes ayant accès à des informations non publiques de la BCE de connaître et d’appliquer la politique et les règles de la BCE en matière de gestion et de confidentialité des informations;
ii) une procédure d’habilitation de sécurité garantissant que seules les personnes contrôlées et autorisées ont accès aux locaux de la BCE et à ses informations non publiques;
iii) des mesures de sensibilisation à la sécurité informatique, à la sécurité de l’information et à la sécurité physique, ainsi que des formations organisées régulièrement pour le personnel de la BCE et les prestataires de services extérieurs;
iv) l’imposition au personnel de la BCE de règles strictes en matière de secret professionnel énoncées dans les conditions d’emploi et les règles applicables au personnel de la BCE, dont la violation donne lieu à des sanctions disciplinaires;
v) des règles et obligations régissant l’accès des prestataires de services extérieurs ou des sous-traitants aux informations non publiques de la BCE, énoncées dans des dispositions contractuelles;
vi) des contrôles d’accès, y compris un zonage de sécurité, mis en œuvre pour garantir que l’accès des personnes aux informations non publiques de la BCE est autorisé et limité en fonction des besoins de l’activité et des exigences de sécurité;
b) en ce qui concerne les procédures:
i) la mise en place de procédures garantissant une mise en œuvre, une exploitation et une maintenance contrôlées des applications informatiques sur lesquelles reposent les activités de la BCE;
ii) l’utilisation, pour les activités de la BCE, d’applications informatiques conformes aux normes de sécurité de la BCE;
iii) l’existence d’un programme complet de sécurité physique en fonctionnement qui évalue en permanence les menaces pour la sécurité et comprend des mesures de sécurité physique afin d’assurer un niveau de protection approprié;
c) en ce qui concerne la technologie:
i) le stockage de toutes les données électroniques dans des applications informatiques conformes aux normes de sécurité de la BCE et ainsi protégées contre tout accès ou toute modification non autorisés;
ii) la mise en œuvre, l’exploitation et la maintenance des applications informatiques à un niveau de sécurité correspondant aux besoins desdites applications en matière de confidentialité, d’intégrité et de disponibilité, sur la base d’analyses d’impact sur l’activité;
iii) la validation régulière du niveau de sécurité des applications informatiques par des évaluations techniques et non techniques de sécurité;
iv) l’octroi de l’accès aux informations non publiques de la BCE conformément au principe du «besoin d’en connaître», et un accès privilégié strictement limité et strictement contrôlé;
v) la mise en œuvre de contrôles pour détecter les failles de sécurité réelles et potentielles et en assurer le suivi.