Article considérant 22

(22) Les informations communiquées aux autorités compétentes devraient contenir des informations sur l’identité des membres de l’organe de direction du prestataire de services de communication de données et sur leur aptitude à la fonction. Ces informations comprennent des données à caractère personnel. Conformément au principe de minimisation des données consacré par l’article 5, paragraphe 1, point c), du règlement (UE) 2016/679 du Parlement européen et du Conseil, les demandes de données ne devraient porter que sur les données à caractère personnel nécessaires pour permettre à l’autorité compétente d’évaluer la capacité des membres de l’organe de direction d’un prestataire de services de communication de données à se conformer aux exigences énoncées dans le règlement (UE) no 600/2014. Tout traitement de données à caractère personnel aux fins du présent règlement devrait être effectué conformément au droit de l’Union en matière de protection des données à caractère personnel. À cet égard, tout traitement de données à caractère personnel effectué par les autorités nationales compétentes en application du présent règlement devrait être effectué conformément au règlement (UE) 2016/679 et aux exigences nationales relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Tout traitement de données à caractère personnel par l’AEMF effectué en application du présent règlement devrait l’être conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil. Afin de permettre aux autorités compétentes de procéder à l’évaluation prévue aux fins de l’agrément initial et de la surveillance continue, tout en veillant au respect de garanties appropriées, il convient d’imposer que les prestataires de services de communication de données et les autorités compétentes ne conservent pas les données à caractère personnel relatives à l’honorabilité d’un membre d’un organe de direction plus de cinq ans après la cessation des fonctions de ce membre.