diritto.io

Decisione (UE) 2020/969 della Commissione del 3 luglio 2020 che stabilisce norme di attuazione riguardanti il responsabile della protezione dei dati, le limitazioni dei diritti degli interessati e l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, e che abroga la decisione 2008/597/CE della Commissione

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l’articolo 45, paragrafo 3,

Per assicurare il corretto funzionamento dell’ufficio del responsabile della protezione dei dati della Commissione, è necessario stabilire in dettaglio i compiti, gli obblighi e i poteri del responsabile della protezione dei dati.

Il regolamento (UE) 2018/1725 assegna chiare responsabilità ai titolari del trattamento, in particolare nei confronti degli interessati. Onde garantire che la Commissione, in qualità di titolare del trattamento, agisca in modo uniforme e trasparente per quanto riguarda le sue responsabilità, dovrebbero essere disposte norme che permettano di identificare chi, presso il servizio o i servizi della Commissione, è responsabile di un trattamento svolto per conto della Commissione. A tale riguardo è opportuno introdurre la nozione di titolare del trattamento delegato, per indicare precisamente le responsabilità delle entità della Commissione, in particolare per quanto concerne le decisioni individuali relative ai diritti degli interessati. È inoltre opportuno introdurre la nozione di titolare del trattamento operativo, che, sotto la responsabilità del titolare del trattamento delegato, è incaricato di garantire nella pratica l’osservanza delle norme e di esaminare le richieste degli interessati riguardo a un trattamento. La nomina di un titolare del trattamento operativo non impedisce di ricorrere nella pratica a un punto di contatto, ad esempio nella forma di una casella di posta elettronica funzionale a cui possono essere inviate le richieste degli interessati.

In alcuni casi, più servizi della Commissione possono effettuare congiuntamente un trattamento per assolvere alle proprie funzioni. In tali circostanze dovrebbero garantire l’esistenza di accordi interni per determinare in modo trasparente le rispettive responsabilità ai sensi del regolamento (UE) 2018/1725, in particolare le responsabilità nei confronti degli interessati e relativamente alla notifica al Garante europeo della protezione dei dati e alla tenuta dei registri.

Onde facilitare l’esercizio delle responsabilità dei titolari del trattamento delegati, ogni servizio della Commissione dovrebbe nominare un coordinatore per la protezione dei dati. Il coordinatore per la protezione dei dati dovrebbe partecipare alla rete dei coordinatori per la protezione dei dati della Commissione per garantire un’attuazione e un’interpretazione coerenti del regolamento (UE) 2018/1725 in seno alla Commissione e per discutere questioni di interesse comune.

Per quanto riguarda il compito di attribuzione delle responsabilità ai sensi dell’articolo 45, paragrafo 1, lettera b), del regolamento (UE) 2018/1725, il responsabile della protezione dei dati dovrebbe emanare orientamenti supplementari sulla funzione del coordinatore per la protezione dei dati.

La Commissione tratta diverse categorie di dati personali nel quadro delle attività di controllo, indagine, revisione e consulenza del responsabile della protezione dei dati. Tratta in particolare i dati identificativi, i dati di contatto, i dati professionali e i dati sul ruolo svolto nella vicenda oggetto dell’indagine. Tali dati sono conservati per cinque anni dopo la chiusura delle attività conformemente all’elenco comune della Commissione per la conservazione delle pratiche2.

In alcune circostanze è necessario conciliare i diritti degli interessati ai sensi del regolamento (UE) 2018/1725 con la necessità, per la Commissione, dello svolgimento delle attività di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati, con la necessità di riservatezza degli scambi di informazioni con altri servizi della Commissione, così come con il pieno rispetto dei diritti e delle libertà fondamentali di altri interessati. A tal fine l’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre alla Commissione la possibilità di limitare l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35, nonché del principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento.

Al fine di garantire la riservatezza e l’efficacia dei compiti di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati nel rispetto del livello di protezione dei dati personali a norma del regolamento (UE) 2018/1725, è necessario adottare norme interne secondo le quali il responsabile della protezione dei dati può limitare i diritti degli interessati conformemente all’articolo 25 di tale regolamento.

Le norme interne dovrebbero applicarsi a tutti i trattamenti di dati effettuati dalla Commissione nello svolgimento dei compiti di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati. Dovrebbero applicarsi ai trattamenti eseguiti prima dell’avvio di un’indagine o di una revisione, durante un’indagine o una revisione, e durante il controllo del seguito dato agli esiti di un’indagine o una revisione. Dette norme dovrebbero altresì applicarsi ai trattamenti rientranti nei compiti connessi alla funzione di indagine o di revisione del responsabile della protezione dei dati, come i procedimenti legati a reclami svolti dal responsabile della protezione dei dati. Dovrebbero infine applicarsi al controllo da parte del responsabile della protezione dei dati e alle sue consultazioni, quando questi coopera e fornisce assistenza ai servizi della Commissione al di fuori delle sue revisioni e indagini amministrative.

Ai fini dell’osservanza degli articoli 14, 15 e 16 del regolamento (UE) 2018/1725, la Commissione dovrebbe informare tutte le persone fisiche in merito ai compiti di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati che implicano il trattamento dei loro dati personali, e in merito ai loro diritti ai sensi del regolamento (UE) 2018/1725. La Commissione dovrebbe informare tali persone in modo trasparente e coerente, con informative sulla protezione dei dati pubblicate sul proprio sito web, e dovrebbe altresì informare ogni persona interessata da un’attività di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati.

In determinate circostanze è possibile che la Commissione debba limitare la comunicazione di informazioni agli interessati e l’applicazione di altri loro diritti. Questo per tutelare i compiti di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati, le indagini e i procedimenti correlati di altri servizi della Commissione, gli strumenti e i metodi delle indagini e delle revisioni del responsabile della protezione dei dati, così come i diritti di altre persone collegati ai compiti del responsabile della protezione dei dati.

In alcuni casi comunicare agli interessati informazioni particolari o rivelare l’esistenza di un’attività di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati potrebbe ostacolare del tutto o compromettere seriamente la finalità del trattamento e la capacità del responsabile della protezione dei dati di svolgere tale attività.

La Commissione dovrebbe inoltre proteggere l’identità degli informatori, che non dovrebbero subire ripercussioni negative come conseguenza della loro cooperazione con il responsabile della protezione dei dati.

Per tali ragioni la Commissione potrebbe dover applicare, ai trattamenti dei dati eseguiti nel quadro dei compiti di controllo, indagine, revisione o consulenza del responsabile della protezione dei dati di cui all’articolo 45 del regolamento (UE) 2018/1725, delle limitazioni sulla base dei motivi di cui all’articolo 25, paragrafo 1, lettere c), g) e h) dello stesso regolamento.

Allo scopo di mantenere una cooperazione efficace è inoltre possibile che la Commissione debba applicare limitazioni ai diritti degli interessati per proteggere le informazioni contenenti dati personali provenienti da altri servizi della Commissione, istituzioni od organismi dell’Unione. A questo scopo il responsabile della protezione dei dati dovrebbe consultare tali servizi, istituzioni od organismi sui motivi pertinenti delle limitazioni e sulla loro necessità e proporzionalità.

Nel quadro dei compiti di controllo, indagine, revisione o consulenza, il responsabile della protezione dei dati scambia informazioni, compresi dati personali, con altri servizi della Commissione. Pertanto, tutti i servizi della Commissione che trattano dati personali nel quadro di un trattamento da parte del responsabile della protezione dei dati nello svolgimento dei suoi compiti dovrebbero applicare le norme di cui alla presente decisione nell’intento di proteggere tali trattamenti eseguiti dal responsabile della protezione dei dati. In tali circostanze i servizi della Commissione interessati dovrebbero quindi consultare il responsabile della protezione dei dati in merito ai pertinenti motivi delle limitazioni e alla loro necessità e proporzionalità al fine di garantirne un’applicazione coerente.

Il responsabile della protezione dei dati e, se del caso, gli altri servizi della Commissione, dovrebbero gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione delle limitazioni nel corrispondente sistema di registrazione.

A norma dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, i titolari del trattamento possono rinviare la comunicazione all’interessato di informazioni relative ai motivi dell’applicazione di una limitazione o astenersi da tale comunicazione qualora ciò comprometta in qualsiasi modo la finalità di tale limitazione. In particolare, qualora si applichi una limitazione ai diritti di cui agli articoli 16 e 35, la relativa notifica ne comprometterebbe la finalità. Al fine di garantire che il diritto dell’interessato ad essere informato conformemente agli articoli 16 e 35 del regolamento (UE) 2018/1725 sia limitato solo durante il periodo in cui permangono i motivi per il rinvio della comunicazione, la Commissione dovrebbe riesaminare periodicamente la propria posizione.

Qualora sia applicata una limitazione di altri diritti degli interessati, il responsabile della protezione dei dati dovrebbe valutare caso per caso se la comunicazione della limitazione ne comprometta la finalità.

Il responsabile della protezione dei dati dovrebbe effettuare un riesame indipendente dell’applicazione delle limitazioni imposte sulla base della presente decisione da altri servizi della Commissione, al fine di garantire l’osservanza della presente decisione.

È opportuno che qualsiasi limitazione applicata sulla base della presente decisione sia necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà degli interessati.

Conformemente all’articolo 41, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato informato e consultato e ha espresso un parere il 16 settembre 2019.

La decisione 2008/597/CE della Commissione3 stabilisce norme di attuazione relative al responsabile della protezione dei dati ai sensi del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio4. Il regolamento (UE) 2018/1725 ha abrogato il regolamento (CE) n. 45/2001 con decorrenza dall’11 dicembre 2019. Per garantire che al responsabile della protezione dei dati si applichi un solo insieme di norme di attuazione è opportuno abrogare anche la decisione 2008/597/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Capo 1. Disposizioni generali

Art. 1 Oggetto e ambito di applicazione

1. La presente decisione stabilisce le norme e le procedure per l’applicazione del regolamento (UE) 2018/1725 da parte della Commissione nonché le norme di attuazione relative al responsabile della protezione dei dati per la Commissione.

2. La presente decisione stabilisce anche le norme che la Commissione deve rispettare, in relazione ai compiti di controllo, indagine, revisione e consulenza del responsabile della protezione dei dati, per informare gli interessati del trattamento dei loro dati personali conformemente agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725.

3. La presente decisione stabilisce inoltre le condizioni alle quali la Commissione, in relazione ai compiti di controllo, indagine, revisione e consulenza del responsabile della protezione dei dati, può limitare l’applicazione dell’articolo 4, degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725 conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), di tale regolamento.

4. La presente decisione si applica al trattamento dei dati personali da parte della Commissione ai fini dei compiti del responsabile della protezione dei dati di cui all’articolo 45 del regolamento (UE) 2018/1725, in particolare i compiti di controllo, indagine, revisione e consulenza, o in relazione a tali compiti.

Art. 3 Definizioni

Ai fini della presente decisione si applicano le seguenti definizioni:

  1. (1) «responsabile della protezione dei dati»: la persona designata dalla Commissione ai sensi dell’articolo 43 del regolamento (UE) 2018/1725;

  2. (2) «compiti del responsabile della protezione dei dati»: i compiti del responsabile della protezione dei dati di cui all’articolo 45 del regolamento (UE) 2018/1725, in particolare i compiti di controllo, indagine, revisione e consulenza;

  3. (3) «coordinatore per la protezione dei dati»: il membro del personale della Commissione nominato da una direzione generale o da un servizio della Commissione per fornire consulenza e assistenza a tale direzione generale o servizio in tutti gli aspetti della protezione dei dati personali;

  4. (4) «titolare del trattamento delegato»: la persona a capo di una direzione generale, di un servizio o di un gabinetto, che effettua un trattamento per conto della Commissione nell’adempimento dei compiti di tale direzione generale, servizio o gabinetto;

  5. (5) «titolare del trattamento operativo»: il membro del personale della Commissione con funzioni dirigenziali intermedie o alte, designato dal titolare del trattamento delegato per garantire la tenuta di un registro dei trattamenti e fungere da punto di contatto principale per gli interessati in relazione a tali trattamenti;

  6. (6) «accordo interno»: qualsiasi accordo fra due o più direzioni generali o servizi per definire le rispettive responsabilità e coordinare la tenuta di un registro dei trattamenti che effettuano congiuntamente o qualora una o più direzioni generali o servizi effettuino una parte del trattamento del titolare del trattamento delegato;

  7. (7) «informatore»: chi porta all’attenzione del responsabile della protezione dei dati una presunta violazione delle disposizioni del regolamento (UE) 2018/1725 o chiede che il responsabile della protezione dei dati indaghi su questioni e fatti che sono direttamente collegati con i suoi compiti e che tale persona porta alla sua conoscenza.

Capo 2. Responsabile della protezione dei dati e coordinatore per la protezione dei dati

Art. 4 Designazione e carica

Il responsabile della protezione dei dati è scelto fra il personale della Commissione sulla base delle sue qualità professionali, compresa una conoscenza approfondita dei servizi della Commissione, della loro struttura e delle loro norme e procedure amministrative.

Art. 5 Compiti e obblighi

1. Il responsabile della protezione dei dati contribuisce alla creazione di una cultura della protezione dei dati personali in seno alla Commissione, basata sulla valutazione dei rischi e sulla responsabilizzazione.

2. Il responsabile della protezione dei dati controlla l’applicazione del regolamento (UE) 2018/1725 in seno alla Commissione, tra l’altro stabilendo ed eseguendo annualmente un programma di lavoro relativo a ispezioni e revisioni.

3. Il responsabile della protezione dei dati organizza e presiede le riunioni periodiche dei coordinatori per la protezione dei dati.

4.

Il responsabile della protezione dei dati tiene le registrazioni delle attività di trattamento della Commissione in un registro centrale accessibile al pubblico.

Il responsabile della protezione dei dati tiene inoltre un registro interno della Commissione sulle violazioni dei dati personali ai sensi dell’articolo 3, punto 16, del regolamento (UE) 2018/1725.

5. Nell’esercizio delle sue funzioni il responsabile della protezione dei dati coopera con i responsabili della protezione dei dati designati dalle altre istituzioni e dagli altri organi dell’Unione.

6. In relazione ai suoi trattamenti, il responsabile della protezione dei dati è considerato il titolare del trattamento delegato ai fini delle decisioni individuali riguardanti i diritti degli interessati ai sensi del regolamento (UE) 2018/1725.

Art. 6 Poteri

Nell’espletare i suoi compiti, il responsabile della protezione dei dati:

  1. a) ha accesso, ove necessario per lo svolgimento dei suoi compiti, ai dati oggetto del trattamento e a tutti gli uffici, alle installazioni per il trattamento dei dati e ai supporti di dati;

  2. b) può chiedere pareri al servizio giuridico della Commissione;

  3. c) può, in caso di conflitto con il titolare del trattamento delegato, il titolare del trattamento operativo o il responsabile del trattamento sull’interpretazione o sull’applicazione del regolamento (UE) 2018/1725, informare il titolare del trattamento delegato competente e il segretario generale;

  4. d) può assegnare fascicoli alle direzioni generali o ai servizi della Commissione interessati affinché sia dato un adeguato seguito;

  5. e) può, su richiesta o di propria iniziativa, svolgere indagini sulle questioni e sui fatti direttamente collegati con i suoi compiti conformemente alla procedura di cui all’articolo 11;

  6. f) può, nel formulare raccomandazioni e fornire consulenza:

    1. i) chiedere al titolare del trattamento delegato o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti che gli derivano dal regolamento (UE) 2018/1725;

    2. ii) rivolgere avvertimenti al titolare del trattamento delegato o al responsabile del trattamento quando un trattamento viola le disposizioni del regolamento (UE) 2018/1725, e chiedere loro di conformare i trattamenti a tali disposizioni, se del caso, in una determinata maniera ed entro un determinato termine;

    3. iii) chiedere al titolare del trattamento delegato o al responsabile del trattamento di sospendere i flussi di dati verso un destinatario in uno Stato membro o in un paese terzo o verso un’organizzazione internazionale;

    4. iv) chiedere al titolare del trattamento delegato o al responsabile del trattamento di riferirgli entro un termine stabilito sul seguito dato a una raccomandazione o a un consiglio da esso formulato;

  7. g) può portare all’attenzione del segretario generale eventuali casi di inosservanza, da parte di un titolare del trattamento delegato, di un titolare del trattamento operativo o di un responsabile del trattamento, delle misure adottate ai sensi dell’articolo 6, lettera f);

  8. h) è responsabile delle decisioni iniziali sulle richieste di accesso a documenti detenuti dal suo ufficio ai sensi del regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio5.

Art. 7 Coordinatori per la protezione dei dati

1. Il titolare del trattamento delegato nomina un coordinatore per la protezione dei dati e, se del caso, uno o più coordinatori aggiunti per la protezione dei dati nella direzione generale o nel servizio sotto la sua responsabilità. Due o più titolari del trattamento delegati possono, per ragioni di coerenza o efficienza, decidere di nominare un coordinatore per la protezione dei dati comune o un coordinatore aggiunto per la protezione dei dati comune, oppure decidere di condividere i servizi di un coordinatore per la protezione dei dati o di un coordinatore aggiunto per la protezione dei dati già nominati. I titolari del trattamento delegati interessati registrano per iscritto il loro accordo a tale riguardo.

2. Il coordinatore per la protezione dei dati nominato da una direzione generale o da un servizio è competente anche per il gabinetto responsabile di tale direzione generale o servizio. Il coordinatore per la protezione dei dati nominato per il segretariato generale è competente per il gabinetto del presidente e per i gabinetti per i quali il segretariato generale è l’unico servizio di supporto. Qualora un gabinetto sia responsabile per più direzioni generali o servizi, i titolari del trattamento delegati decidono quali dei loro rispettivi coordinatori per la protezione dei dati debbano essere competenti per tale gabinetto.

3.

Il responsabile della protezione dei dati, il personale della direzione generale o del servizio competente e il gabinetto competente sono informati di ogni nuova nomina di un coordinatore per la protezione dei dati.

Entro sei mesi dalla nomina, i nuovi coordinatori per la protezione dei dati completano una formazione per acquisire le competenze necessarie per il loro ruolo. Sono dispensati da tale requisito di formazione i coordinatori per la protezione dei dati che hanno precedentemente ricoperto un posto di coordinatore per la protezione dei dati in un’altra direzione generale o in un altro servizio, o che sono Stati membri del personale del responsabile della protezione dei dati nei due anni precedenti la nomina a coordinatori per la protezione dei dati.

4. I titolari del trattamento delegati prendono le disposizioni opportune per garantire che il coordinatore per la protezione dei dati sia coinvolto in maniera appropriata e tempestiva in tutte le questioni relative alla protezione dei dati nella loro direzione generale o nel loro servizio, e che, su richiesta del coordinatore per la protezione dei dati, i suoi pareri siano portati alla loro attenzione.

5. I coordinatori per la protezione dei dati sono scelti in base alla loro conoscenza ed esperienza del funzionamento della rispettiva direzione generale o servizio, alla motivazione per tale carica, alle competenze riguardanti la protezione dei dati, alla conoscenza dei principi di funzionamento dei sistemi d’informazione e alle competenze comunicative.

6. La funzione di coordinatore per la protezione dei dati può essere combinata con altre funzioni. Il titolare del trattamento delegato garantisce che tali funzioni siano compatibili con quella di coordinatore per la protezione dei dati

7. La funzione di coordinatore per la protezione dei dati rientra nella descrizione delle mansioni di ciascun membro del personale nominato a tale carica. Le responsabilità e i risultati ottenuti sono indicati nel rapporto di valutazione annuale.

8. Il coordinatore per la protezione dei dati funge da punto di contatto fra il titolare del trattamento delegato, il titolare del trattamento operativo e il responsabile del trattamento, e il responsabile della protezione dei dati.

9. I coordinatori per la protezione dei dati hanno il diritto di ottenere qualsiasi informazione, nella loro direzione generale o nel loro servizio, necessaria per lo svolgimento dei loro compiti. I coordinatori per la protezione dei dati accedono ai dati personali solo se necessario per lo svolgimento dei loro compiti.

10.

Il coordinatore per la protezione dei dati tiene registri delle richieste presentate dagli interessati alla direzione generale, al servizio o al gabinetto e ne fornisce statistiche anonimizzate, specificando il numero delle richieste e il numero delle richieste respinte in tutto o in parte. Il responsabile della protezione dei dati specifica le categorie di richieste di cui sono tenute statistiche. Il responsabile della protezione dei dati può specificare quali ulteriori dettagli vadano forniti.

Il coordinatore per la protezione dei dati tiene statistiche anonimizzate delle violazioni di dati personali gestite dalla direzione generale, dal servizio o dal gabinetto, specificando il numero totale di tali violazioni, il numero di tali violazioni notificate al Garante europeo della protezione dei dati e il numero di tali violazioni comunicate agli interessati.

11. Il coordinatore per la protezione dei dati sensibilizza il personale della sua direzione generale o del suo servizio alle questioni legate alla protezione dei dati e consiglia e assiste i titolari del trattamento delegati e i titolari del trattamento operativi nell’adempimento dei loro obblighi, specialmente per quanto riguarda:

  1. a) l’attuazione dei principi generali del regolamento (UE) 2018/1725;

  2. b) la documentazione dei trattamenti;

  3. c) la presentazione, al responsabile della protezione dei dati, delle registrazioni dei trattamenti dei titolari del trattamento delegati ai sensi dell’articolo 10;

  4. d) la preparazione delle informative sulla privacy.

12. Il coordinatore per la protezione dei dati partecipa alle riunioni e, ove necessario, ai gruppi di lavoro dei coordinatori per la protezione dei dati.

13. Il responsabile della protezione dei dati emana orientamenti supplementari sulle responsabilità e sulle funzioni del coordinatore per la protezione dei dati.

Capo 3. Titolari del trattamento

Art. 8 Titolari del trattamento delegati e titolari del trattamento operativi

1. I titolari del trattamento delegati agiscono per conto della Commissione in qualità di titolare del trattamento ai fini dell’applicazione del regolamento (UE) 2018/1725.

2. I titolari del trattamento delegati e i titolari del trattamento operativi:

  1. a) possono consultare il responsabile della protezione dei dati, tramite il coordinatore per la protezione dei dati, sulla conformità dei trattamenti, in particolare in caso di dubbi;

  2. b) riferiscono al responsabile della protezione dei dati, tramite il coordinatore per la protezione dei dati, sul trattamento di qualsiasi richiesta ricevuta da un interessato ai fini dell’esercizio dei suoi diritti.

3.

Il titolare del trattamento delegato:

  1. a) designa un titolare del trattamento operativo che lo assista nel garantire l’osservanza del regolamento (UE) 2018/1725, in particolare nei confronti degli interessati;

  2. b) garantisce che, qualora effettui trattamenti congiuntamente con altre direzioni generali o servizi o qualora tali direzioni generali o servizi effettuino una parte del suo trattamento, siano in vigore accordi interni con tali direzioni generali o servizi.

Gli accordi di cui al precedente comma determinano le rispettive responsabilità in merito all’adempimento degli obblighi di protezione dei dati. In particolare, identificano il titolare del trattamento delegato che determina i mezzi e le finalità del trattamento nonché il titolare del trattamento operativo del trattamento, e, se del caso, la persona e/o le entità che assistono il titolare del trattamento operativo, tra l’altro, fornendo informazioni in caso di violazioni dei dati o per soddisfare i diritti degli interessati.

4. Il titolare del trattamento operativo:

  1. a) riceve e tratta tutte le richieste degli interessati;

  2. b) notifica al Garante europeo della protezione dei dati qualsiasi violazione dei dati personali;

  3. c) informa il coordinatore per la protezione dei dati e il responsabile della protezione dei dati in caso di violazione dei dati personali e, se del caso, ne dà notifica all’interessato;

  4. d) garantisce che il coordinatore per la protezione dei dati sia tenuto al corrente di tutte le questioni relative alla protezione dei dati, in particolare le richieste degli interessati;

  5. e) svolge, su richiesta del titolare del trattamento delegato, qualsiasi altro compito rientrante nell’ambito di applicazione della presente decisione.

Capo 4. Altri obblighi e procedure

Art. 9 Attività di informazione

Il titolare del trattamento delegato, in cooperazione con il coordinatore per la protezione dei dati, informa il responsabile della protezione dei dati quando consulta o informa il Garante europeo della protezione dei dati conformemente al regolamento (UE) 2018/1725, in particolare ai sensi degli articoli 40 e 41 di tale regolamento. Inoltre, il titolare del trattamento delegato, il titolare del trattamento operativo o il coordinatore per la protezione dei dati informa il responsabile della protezione dei dati di ogni altra interazione diretta con il Garante europeo della protezione dei dati relativa all’attuazione del regolamento (UE) 2018/1725.

Art. 10 Registro

1. Il responsabile della protezione dei dati assicura che il registro dei trattamenti della Commissione sia accessibile dal proprio sito web sul sito Intranet della Commissione e dal proprio sito web sul sito web Europa.

2. I titolari del trattamento delegati notificano al responsabile della protezione dei dati, tramite il loro coordinatore per la protezione dei dati, le registrazioni dei loro trattamenti utilizzando il sistema di notifica online della Commissione, accessibile dal sito web del responsabile della protezione dei dati sul sito Intranet della Commissione.

Art. 11 Procedura di indagine

1. La richiesta di indagine di cui all’articolo 6, lettera e), è rivolta al responsabile della protezione dei dati per iscritto. Entro 15 giorni lavorativi dal ricevimento, il responsabile della protezione dei dati invia una conferma di ricevimento alla persona che lo ha incaricato dell’indagine e verifica se occorra garantire la riservatezza della richiesta, a meno che l’interessato non acconsenta esplicitamente a che sia trattata in modo diverso. In caso di palese abuso del diritto di richiedere un’indagine, il responsabile della protezione dei dati non è tenuto a riferire al richiedente.

2. Il responsabile della protezione dei dati chiede una dichiarazione scritta sulla questione al titolare del trattamento delegato competente per il trattamento dei dati in questione. Il titolare del trattamento delegato risponde al responsabile della protezione dei dati entro 15 giorni lavorativi. Il responsabile della protezione dei dati può chiedere informazioni complementari al titolare del trattamento delegato, al responsabile del trattamento o ad altre parti entro 15 giorni lavorativi.

3. Il responsabile della protezione dei dati riferisce alla persona che lo ha incaricato dell’indagine entro tre mesi dal ricevimento della richiesta. Tale termine può essere sospeso finché il responsabile della protezione dei dati non abbia ottenuto tutte le informazioni complementari eventualmente richieste.

4. Nessuno può subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati e riguardante un’asserita violazione delle disposizioni del regolamento (UE) 2018/1725.

Fonti e licenze