diritto.io

Decisione (UE) 2020/969 della Commissione del 3 luglio 2020 che stabilisce norme di attuazione riguardanti il responsabile della protezione dei dati, le limitazioni dei diritti degli interessati e l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, e che abroga la decisione 2008/597/CE della Commissione

Testo vigente

Art. 7 Coordinatori per la protezione dei dati

1. Il titolare del trattamento delegato nomina un coordinatore per la protezione dei dati e, se del caso, uno o più coordinatori aggiunti per la protezione dei dati nella direzione generale o nel servizio sotto la sua responsabilità. Due o più titolari del trattamento delegati possono, per ragioni di coerenza o efficienza, decidere di nominare un coordinatore per la protezione dei dati comune o un coordinatore aggiunto per la protezione dei dati comune, oppure decidere di condividere i servizi di un coordinatore per la protezione dei dati o di un coordinatore aggiunto per la protezione dei dati già nominati. I titolari del trattamento delegati interessati registrano per iscritto il loro accordo a tale riguardo.

2. Il coordinatore per la protezione dei dati nominato da una direzione generale o da un servizio è competente anche per il gabinetto responsabile di tale direzione generale o servizio. Il coordinatore per la protezione dei dati nominato per il segretariato generale è competente per il gabinetto del presidente e per i gabinetti per i quali il segretariato generale è l’unico servizio di supporto. Qualora un gabinetto sia responsabile per più direzioni generali o servizi, i titolari del trattamento delegati decidono quali dei loro rispettivi coordinatori per la protezione dei dati debbano essere competenti per tale gabinetto.

3.

Il responsabile della protezione dei dati, il personale della direzione generale o del servizio competente e il gabinetto competente sono informati di ogni nuova nomina di un coordinatore per la protezione dei dati.

Entro sei mesi dalla nomina, i nuovi coordinatori per la protezione dei dati completano una formazione per acquisire le competenze necessarie per il loro ruolo. Sono dispensati da tale requisito di formazione i coordinatori per la protezione dei dati che hanno precedentemente ricoperto un posto di coordinatore per la protezione dei dati in un’altra direzione generale o in un altro servizio, o che sono Stati membri del personale del responsabile della protezione dei dati nei due anni precedenti la nomina a coordinatori per la protezione dei dati.

4. I titolari del trattamento delegati prendono le disposizioni opportune per garantire che il coordinatore per la protezione dei dati sia coinvolto in maniera appropriata e tempestiva in tutte le questioni relative alla protezione dei dati nella loro direzione generale o nel loro servizio, e che, su richiesta del coordinatore per la protezione dei dati, i suoi pareri siano portati alla loro attenzione.

5. I coordinatori per la protezione dei dati sono scelti in base alla loro conoscenza ed esperienza del funzionamento della rispettiva direzione generale o servizio, alla motivazione per tale carica, alle competenze riguardanti la protezione dei dati, alla conoscenza dei principi di funzionamento dei sistemi d’informazione e alle competenze comunicative.

6. La funzione di coordinatore per la protezione dei dati può essere combinata con altre funzioni. Il titolare del trattamento delegato garantisce che tali funzioni siano compatibili con quella di coordinatore per la protezione dei dati

7. La funzione di coordinatore per la protezione dei dati rientra nella descrizione delle mansioni di ciascun membro del personale nominato a tale carica. Le responsabilità e i risultati ottenuti sono indicati nel rapporto di valutazione annuale.

8. Il coordinatore per la protezione dei dati funge da punto di contatto fra il titolare del trattamento delegato, il titolare del trattamento operativo e il responsabile del trattamento, e il responsabile della protezione dei dati.

9. I coordinatori per la protezione dei dati hanno il diritto di ottenere qualsiasi informazione, nella loro direzione generale o nel loro servizio, necessaria per lo svolgimento dei loro compiti. I coordinatori per la protezione dei dati accedono ai dati personali solo se necessario per lo svolgimento dei loro compiti.

10.

Il coordinatore per la protezione dei dati tiene registri delle richieste presentate dagli interessati alla direzione generale, al servizio o al gabinetto e ne fornisce statistiche anonimizzate, specificando il numero delle richieste e il numero delle richieste respinte in tutto o in parte. Il responsabile della protezione dei dati specifica le categorie di richieste di cui sono tenute statistiche. Il responsabile della protezione dei dati può specificare quali ulteriori dettagli vadano forniti.

Il coordinatore per la protezione dei dati tiene statistiche anonimizzate delle violazioni di dati personali gestite dalla direzione generale, dal servizio o dal gabinetto, specificando il numero totale di tali violazioni, il numero di tali violazioni notificate al Garante europeo della protezione dei dati e il numero di tali violazioni comunicate agli interessati.

11. Il coordinatore per la protezione dei dati sensibilizza il personale della sua direzione generale o del suo servizio alle questioni legate alla protezione dei dati e consiglia e assiste i titolari del trattamento delegati e i titolari del trattamento operativi nell’adempimento dei loro obblighi, specialmente per quanto riguarda:

  1. a) l’attuazione dei principi generali del regolamento (UE) 2018/1725;

  2. b) la documentazione dei trattamenti;

  3. c) la presentazione, al responsabile della protezione dei dati, delle registrazioni dei trattamenti dei titolari del trattamento delegati ai sensi dell’articolo 10;

  4. d) la preparazione delle informative sulla privacy.

12. Il coordinatore per la protezione dei dati partecipa alle riunioni e, ove necessario, ai gruppi di lavoro dei coordinatori per la protezione dei dati.

13. Il responsabile della protezione dei dati emana orientamenti supplementari sulle responsabilità e sulle funzioni del coordinatore per la protezione dei dati.

Capo 3. Titolari del trattamento

Art. 8 Titolari del trattamento delegati e titolari del trattamento operativi

1. I titolari del trattamento delegati agiscono per conto della Commissione in qualità di titolare del trattamento ai fini dell’applicazione del regolamento (UE) 2018/1725.

2. I titolari del trattamento delegati e i titolari del trattamento operativi:

  1. a) possono consultare il responsabile della protezione dei dati, tramite il coordinatore per la protezione dei dati, sulla conformità dei trattamenti, in particolare in caso di dubbi;

  2. b) riferiscono al responsabile della protezione dei dati, tramite il coordinatore per la protezione dei dati, sul trattamento di qualsiasi richiesta ricevuta da un interessato ai fini dell’esercizio dei suoi diritti.

3.

Il titolare del trattamento delegato:

  1. a) designa un titolare del trattamento operativo che lo assista nel garantire l’osservanza del regolamento (UE) 2018/1725, in particolare nei confronti degli interessati;

  2. b) garantisce che, qualora effettui trattamenti congiuntamente con altre direzioni generali o servizi o qualora tali direzioni generali o servizi effettuino una parte del suo trattamento, siano in vigore accordi interni con tali direzioni generali o servizi.

Gli accordi di cui al precedente comma determinano le rispettive responsabilità in merito all’adempimento degli obblighi di protezione dei dati. In particolare, identificano il titolare del trattamento delegato che determina i mezzi e le finalità del trattamento nonché il titolare del trattamento operativo del trattamento, e, se del caso, la persona e/o le entità che assistono il titolare del trattamento operativo, tra l’altro, fornendo informazioni in caso di violazioni dei dati o per soddisfare i diritti degli interessati.

4. Il titolare del trattamento operativo:

  1. a) riceve e tratta tutte le richieste degli interessati;

  2. b) notifica al Garante europeo della protezione dei dati qualsiasi violazione dei dati personali;

  3. c) informa il coordinatore per la protezione dei dati e il responsabile della protezione dei dati in caso di violazione dei dati personali e, se del caso, ne dà notifica all’interessato;

  4. d) garantisce che il coordinatore per la protezione dei dati sia tenuto al corrente di tutte le questioni relative alla protezione dei dati, in particolare le richieste degli interessati;

  5. e) svolge, su richiesta del titolare del trattamento delegato, qualsiasi altro compito rientrante nell’ambito di applicazione della presente decisione.

Capo 4. Altri obblighi e procedure

Art. 9 Attività di informazione

Il titolare del trattamento delegato, in cooperazione con il coordinatore per la protezione dei dati, informa il responsabile della protezione dei dati quando consulta o informa il Garante europeo della protezione dei dati conformemente al regolamento (UE) 2018/1725, in particolare ai sensi degli articoli 40 e 41 di tale regolamento. Inoltre, il titolare del trattamento delegato, il titolare del trattamento operativo o il coordinatore per la protezione dei dati informa il responsabile della protezione dei dati di ogni altra interazione diretta con il Garante europeo della protezione dei dati relativa all’attuazione del regolamento (UE) 2018/1725.

Art. 10 Registro

1. Il responsabile della protezione dei dati assicura che il registro dei trattamenti della Commissione sia accessibile dal proprio sito web sul sito Intranet della Commissione e dal proprio sito web sul sito web Europa.

2. I titolari del trattamento delegati notificano al responsabile della protezione dei dati, tramite il loro coordinatore per la protezione dei dati, le registrazioni dei loro trattamenti utilizzando il sistema di notifica online della Commissione, accessibile dal sito web del responsabile della protezione dei dati sul sito Intranet della Commissione.

Art. 11 Procedura di indagine

1. La richiesta di indagine di cui all’articolo 6, lettera e), è rivolta al responsabile della protezione dei dati per iscritto. Entro 15 giorni lavorativi dal ricevimento, il responsabile della protezione dei dati invia una conferma di ricevimento alla persona che lo ha incaricato dell’indagine e verifica se occorra garantire la riservatezza della richiesta, a meno che l’interessato non acconsenta esplicitamente a che sia trattata in modo diverso. In caso di palese abuso del diritto di richiedere un’indagine, il responsabile della protezione dei dati non è tenuto a riferire al richiedente.

2. Il responsabile della protezione dei dati chiede una dichiarazione scritta sulla questione al titolare del trattamento delegato competente per il trattamento dei dati in questione. Il titolare del trattamento delegato risponde al responsabile della protezione dei dati entro 15 giorni lavorativi. Il responsabile della protezione dei dati può chiedere informazioni complementari al titolare del trattamento delegato, al responsabile del trattamento o ad altre parti entro 15 giorni lavorativi.

3. Il responsabile della protezione dei dati riferisce alla persona che lo ha incaricato dell’indagine entro tre mesi dal ricevimento della richiesta. Tale termine può essere sospeso finché il responsabile della protezione dei dati non abbia ottenuto tutte le informazioni complementari eventualmente richieste.

4. Nessuno può subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati e riguardante un’asserita violazione delle disposizioni del regolamento (UE) 2018/1725.

Art. 12 Amministrazione e gestione

1. Il responsabile della protezione dei dati afferisce amministrativamente al segretariato generale. In tale contesto, il responsabile della protezione dei dati partecipa alla preparazione del piano di gestione annuale e del progetto preliminare di bilancio del segretariato generale.

2. Il responsabile della protezione dei dati è il valutatore per il personale dell’ufficio per la protezione dei dati. Il segretario generale aggiunto è il vidimatore. Il responsabile della protezione dei dati partecipa se del caso al coordinamento della gestione del segretariato generale.

Capo 5. Limitazione dei diritti dell’interessato

Art. 13 Eccezioni e limitazioni applicabili

1. Qualora eserciti le sue funzioni in relazione ai diritti degli interessati a norma del regolamento (UE) 2018/1725, la Commissione valuta se si applichi una delle eccezioni stabilite in tale regolamento.

2. Fatti salvi gli articoli da 14 a 18 della presente decisione, la Commissione può limitare l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725, nonché il principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), di tale regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 del regolamento (UE) 2018/1725, qualora l’esercizio di tali diritti e obblighi rischi di pregiudicare gli obiettivi dei compiti del responsabile della protezione dei dati, ad esempio rivelandone gli strumenti e i metodi di indagine o revisione, o di ledere i diritti e le libertà di altri interessati conformemente all’articolo 25, paragrafo 1, lettere c), g) e h).

3.

Fatti salvi gli articoli da 14 a 18 della presente decisione, la Commissione può limitare i diritti e gli obblighi di cui al paragrafo 2 del presente articolo in relazione ai dati personali che il responsabile della protezione dei dati ha ottenuto dai servizi della Commissione o da altre istituzioni e organi dell’Unione. La Commissione può precedere in tal senso quando l’esercizio di detti diritti e obblighi potrebbe essere limitato da tali servizi della Commissione o altre istituzioni o organi dell’Unione sulla base di altri atti di cui all’articolo 25 del regolamento (UE) 2018/1725 o conformemente al capo IX di detto regolamento oppure conformemente al regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio6 o al regolamento (UE) 2017/1939 del Consiglio7.

Prima di applicare le limitazioni nei casi di cui al primo comma, la Commissione consulta l’istituzione o gli organi pertinenti dell’Unione, a meno che non le risulti evidente che l’applicazione di una limitazione è prevista da uno degli atti di cui al suddetto comma.

4. Qualsiasi limitazione all’applicazione di diritti e obblighi ai sensi del paragrafo 2 è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà degli interessati.

Art. 14 Comunicazione di informazioni agli interessati

1. La Commissione pubblica sul suo sito web informative sulla protezione dei dati per informare tutti gli interessati riguardo ai compiti del responsabile della protezione dei dati che comportano il trattamento dei loro dati personali.

2. La Commissione informa individualmente, nella forma appropriata, chiunque essa consideri una persona interessata dai compiti del responsabile della protezione dei dati o un informatore.

3. Qualora limiti in tutto o in parte la comunicazione agli interessati delle informazioni di cui al paragrafo 2, la Commissione registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 17.

Art. 15 Diritto di accesso degli interessati, diritto alla cancellazione e diritto di limitazione del trattamento

1. Se limita, in tutto o in parte, il diritto di accesso ai dati personali degli interessati, il diritto alla cancellazione o il diritto di limitazione del trattamento di cui, rispettivamente, agli articoli 17, 19 e 20 del regolamento (UE) 2018/1725, la Commissione informa l’interessato, nella risposta alla richiesta di accesso, cancellazione o limitazione del trattamento, della limitazione applicata e dei suoi principali motivi, nonché della possibilità di proporre reclamo al Garante europeo della protezione dei dati o ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

2. La comunicazione delle informazioni sui motivi della limitazione di cui al paragrafo 1 può essere rinviata, omessa o negata fintantoché sussiste il rischio di compromettere la finalità della limitazione stessa.

3. La Commissione registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 17.

4. Qualora il diritto di accesso sia limitato in tutto o in parte, l’interessato è autorizzato a esercitare il suo diritto di accesso tramite il Garante europeo della protezione dei dati, conformemente all’articolo 25, paragrafi 6, 7 e 8, del regolamento (UE) 2018/1725.

Art. 16 Comunicazione di una violazione dei dati personali all’interessato

Qualora limiti la comunicazione all’interessato di una violazione dei dati personali ai sensi dell’articolo 35 del regolamento (UE) 2018/1725, la Commissione registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 17 della presente decisione.

Art. 17 Registrazione delle limitazioni

1.

La Commissione registra i motivi di qualsiasi limitazione applicata a norma della presente decisione, compresa una valutazione caso per caso della relativa necessità e proporzionalità, tenuto conto degli elementi pertinenti di cui all’articolo 25, paragrafo 2, del regolamento (UE) 2018/1725.

A tal fine la registrazione indica in che modo l’esercizio del diritto rischia di pregiudicare l’obiettivo dei compiti del responsabile della protezione dei dati a norma della presente decisione o le limitazioni applicate ai sensi dell’articolo 2, paragrafi 2 o 3, o di ledere i diritti e le libertà di altri interessati.

2. La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, questi sono messi a disposizione del Garante europeo della protezione dei dati.

Art. 18 Durata delle limitazioni

1. Le limitazioni di cui agli articoli 14, 15 e 16 continuano ad applicarsi finché sussistono i motivi che le giustificano.

2. Qualora i motivi della limitazione di cui all’articolo 14 o 16 non siano più applicabili, la Commissione revoca la limitazione e spiega i motivi della limitazione all’interessato. Nel contempo la Commissione informa l’interessato della possibilità di proporre in qualsiasi momento reclamo al Garante europeo della protezione dei dati o ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

3. La Commissione riesamina l’applicazione delle limitazioni di cui agli articoli 14 e 16 ogni sei mesi dopo l’adozione e comunque all’atto della chiusura della pertinente attività del responsabile della protezione dei dati. Successivamente la Commissione valuta su base annuale la necessità di mantenere eventuali limitazioni o rinvii.

Art. 19 Riesame da parte del responsabile della protezione dei dati

1. Qualora altri servizi della Commissione concludano che i diritti dell’interessato debbano essere limitati a norma della presente decisione, ne informano il responsabile della protezione dei dati. Inoltre forniscono al responsabile della protezione dei dati l’accesso al registro e a tutti i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base.

2. Il responsabile della protezione dei dati può invitare il titolare del trattamento delegato del servizio della Commissione interessato a riesaminare l’applicazione delle limitazioni. Il titolare del trattamento delegato del servizio della Commissione interessato informa per iscritto il responsabile della protezione dei dati in merito all’esito del riesame richiesto.

Capo 6. Disposizioni finali

Art. 21 Entrata in vigore

La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Bruxelles, il 3 luglio 2020 Per la Commissione La presidente Ursula von der Leyen

Fonti e licenze