1.
Dla realizacji celu, o którym mowa w art. 2 cel nadzoru nad rynkiem finansowym, oraz wykonywania obowiązku, o którym mowa w art. 4 zadania Komisji Nadzoru Finansowego ust. 7, Komisja przetwarza dane osobowe, w tym dane, o których mowa w art. 9 przetwarzanie szczególnych kategorii danych osobowych ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), w zakresie danych dotyczących zdrowia.
2.
Dane osobowe, o których mowa w ust. 1, mogą przetwarzać wyłącznie osoby posiadające pisemne upoważnienie. Osoby posiadające pisemne upoważnienie są zobowiązane do zachowania tych danych w tajemnicy na zasadach, o których mowa w art. 16 obowiązek nieujawniania informacji osobom nieupoważnionym ust. 1.
3.
Dane osobowe, o których mowa w ust. 1, Komisja przetwarza przez okres 25 lat.
3a.
Dane osobowe, o których mowa w art. 56 ust. 1 rozporządzenia 2022/2554, Komisja przetwarza przez okres 15 lat w celu sprawowania nadzoru w zakresie, o którym mowa w art. 1 zakres regulacji ustawy ust. 2 pkt 16, chyba że toczy się postępowanie sądowe wymagające dalszego przetwarzania tych danych.
3b.
Realizowanie przez Komisję obowiązków wynikających z art. 15 zakaz podejmowania przez członków i pracowników Komisji określonych działań, czynności oraz zatrudnienia, art. 16 obowiązek nieujawniania informacji osobom nieupoważnionym, art. 18 sąd polubowny przy Komisji ust. 1 lit. a i d oraz art. 19 uchylony zdanie drugie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), w zakresie danych pozyskanych w związku ze zgłoszeniem poważnego incydentu związanego z ICT w rozumieniu art. 3 pkt 10 rozporządzenia 2022/2554 lub znaczącego cyberzagrożenia w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, jest możliwe dopiero po zakończeniu obsługi tego zdarzenia, w związku z którym dane zostały pozyskane, lub po zakończeniu obsługi tego zdarzenia, do której te dane są niezbędne.
4.
Wystąpienie z żądaniem, o którym mowa w art. 18 prawo do ograniczenia przetwarzania danych ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), nie wpływa na przebieg i wynik postępowań, innych czynności nadzorczych, a także na korzystanie z uprawnień, o których mowa w art. 6 uprawnienia prokuratora i pokrzywdzonego przysługujące Przewodniczącemu Komisji Nadzoru Finansowego, możliwość złożenia zawiadomienia o podejrzeniu popełnienia przestępstwa oraz wykonanie obowiązków, o których mowa w art. 6b Lista ostrzeżeń publicznych Komisji Nadzoru Finansowego.
5.
Komisja jest administratorem danych osobowych przetwarzanych przez sąd polubowny, o którym mowa w art. 18 sąd polubowny przy Komisji ust. 1, oraz przez komisje egzaminacyjne, o których mowa w ustawie z dnia 15 grudnia 2017 r. o dystrybucji ubezpieczeń, ustawie z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi, ustawie o działalności ubezpieczeniowej i reasekuracyjnej i ustawie z dnia 23 marca 2017 r. o kredycie hipotecznym oraz o nadzorze nad pośrednikami kredytu hipotecznego i agentami.
