diritto.io

Decisione (UE) 2021/1093 del Consiglio del 28 giugno 2021 che stabilisce le norme di attuazione riguardanti il responsabile della protezione dei dati del Consiglio, l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e le limitazioni dei diritti degli interessati nel contesto dell’esecuzione dei compiti del responsabile della protezione dei dati del Consiglio, e che abroga la decisione 2004/644/CE del Consiglio

Testo vigente

IL CONSIGLIO DELL’UNIONE EUROPEA,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l’articolo 45, paragrafo 3,

Il regolamento (UE) 2018/1725 stabilisce principi e norme applicabili a tutte le istituzioni e gli organi dell’Unione e prevede la nomina, da parte di ogni istituzione od organo dell’Unione, di un responsabile della protezione dei dati.

L’articolo 45, paragrafo 3, del regolamento (UE) 2018/1725 prevede che ogni istituzione od organo dell’Unione adotti le norme di attuazione relative al responsabile della protezione dei dati («norme di attuazione»). Le norme di attuazione dovrebbero riguardare in particolare i compiti, le funzioni e le competenze del responsabile della protezione dei dati del Consiglio e del segretariato generale del Consiglio («RPD»).

Le norme di attuazione dovrebbero stabilire, relativamente al trattamento dei dati personali, le procedure mediante le quali gli interessati esercitano i loro diritti e tutti gli attori implicati nell’ambito del Consiglio e del segretariato generale del Consiglio («SGC») adempiono ai loro obblighi.

Il regolamento (UE) 2018/1725 stabilisce responsabilità ben definite dei titolari del trattamento, in particolare per quanto riguarda i diritti degli interessati. Le norme di attuazione dovrebbero garantire che il Consiglio e l’SGC adempiano alle loro responsabilità di titolari del trattamento in modo uniforme e trasparente. Dovrebbero essere disposte norme al fine di individuare chi è responsabile di un trattamento svolto per conto del Consiglio o dell’SGC. A tale riguardo è opportuno introdurre il concetto di un «titolare del trattamento delegato», per indicare precisamente le responsabilità delle entità dell’SGC, in particolare per quanto concerne le decisioni individuali relative ai diritti degli interessati. È inoltre opportuno introdurre il concetto di un «titolare del trattamento operativo», che, sotto la responsabilità del titolare del trattamento delegato, è incaricato di garantire nella pratica l’osservanza delle norme e di esaminare le richieste degli interessati riguardo a un trattamento. Al fine di precisare le responsabilità in seno all’SGC per ciascuna attività di trattamento, il titolare del trattamento operativo dovrebbe essere indicato con precisione nella registrazione annotata nel registro. La nomina di un titolare del trattamento operativo non impedisce di ricorrere nella pratica a un punto di contatto, per esempio nella forma di una casella di posta elettronica funzionale a cui possono essere inviate le richieste degli interessati.

In alcuni casi, più direzioni generali o servizi dell’SGC effettuano congiuntamente un trattamento per assolvere alle proprie funzioni. In tali circostanze dovrebbero garantire l’esistenza di accordi interni per determinare in modo trasparente le rispettive responsabilità ai sensi del regolamento (UE) 2018/1725, in particolare in relazione ai diritti degli interessati, alla notifica al garante europeo della protezione dei dati («GEPD») e alla tenuta dei registri.

Onde facilitare l’esercizio delle responsabilità dei titolari del trattamento delegati, ogni direzione generale o altro servizio dell’SGC dovrebbe nominare un coordinatore per la protezione dei dati. I coordinatori per la protezione dei dati dovrebbero fornire assistenza alla direzione generale o ad altro servizio dell’SGC in tutti gli aspetti della protezione dei dati personali e partecipano alla rete dei coordinatori per la protezione dei dati dell’SGC per garantire un’attuazione e un’interpretazione coerenti del regolamento (UE) 2018/1725.

Ai sensi dell’articolo 45, paragrafo 1, lettera b), del regolamento (UE) 2018/1725, l’RPD potrebbe emanare orientamenti supplementari sulla funzione del coordinatore per la protezione dei dati.

L’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre a ogni istituzione od organo dell’Unione la possibilità di limitare l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 di tale regolamento, nonché del principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento.

In alcuni casi, l’RPD può dover limitare i diritti degli interessati per svolgere i compiti di controllo, indagine, revisione o consultazione di cui all’articolo 45 del regolamento (UE) 2018/1725 nel rispetto del livello di protezione dei dati personali a norma di tale regolamento. È necessario adottare norme interne in base alle quali l’RPD possa limitare i diritti degli interessati conformemente all’articolo 25 («norme interne»).

Le norme interne dovrebbero applicarsi a tutti i trattamenti di dati effettuati dal Consiglio e dall’SGC nello svolgimento dei compiti di controllo, indagine, revisione o consultazione dell’RPD. Le norme interne dovrebbero altresì applicarsi ai trattamenti rientranti nei compiti connessi alla funzione di indagine o di revisione dell’RPD, come i procedimenti legati a reclami svolti dall’RPD. Le norme interne dovrebbero inoltre applicarsi al controllo da parte dell’RPD e alle sue consultazioni, qualora l’RPD cooperi e fornisca assistenza alle direzioni generali e ai servizi dell’SGC al di fuori delle sue revisioni e indagini amministrative.

Il Consiglio e l’SGC possono dover applicare, ai trattamenti dei dati eseguiti nell’ambito dei compiti di controllo, indagine, revisione o consultazione dell’RPD, delle limitazioni sulla base dei motivi di cui all’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento (UE) 2018/1725, qualora ciò sia necessario per tutelare i compiti dell’RPD, le indagini e i procedimenti correlati, gli strumenti e i metodi delle indagini e delle revisioni dell’RPD, così come i diritti di altre persone collegati ai compiti dell’RPD.

Allo scopo di mantenere una cooperazione efficace è possibile che il Consiglio e l’SGC debbano applicare limitazioni ai diritti degli interessati per proteggere le informazioni contenenti dati personali provenienti da direzioni generali e altri servizi dell’SGC oppure altre istituzioni od organi dell’Unione. A questo scopo l’RPD dovrebbe consultare tali direzioni generali e servizi o altre istituzioni od organi sui motivi pertinenti di tali limitazioni e sulla loro necessità e proporzionalità.

L’RPD e, se del caso, le direzioni generali e i servizi dell’SGC dovrebbero gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione delle limitazioni nel corrispondente sistema di registrazione.

A norma dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, i titolari del trattamento possono differire la comunicazione all’interessato di informazioni relative ai motivi dell’applicazione di una limitazione o astenersi da tale comunicazione qualora ciò comprometta in qualsiasi modo la finalità di tale limitazione. In particolare, qualora si applichi una limitazione dei diritti di cui agli articoli 16 e 35 di tale regolamento, la relativa notifica ne comprometterebbe la finalità. Al fine di garantire che il diritto dell’interessato a essere informato conformemente a tali articoli sia limitato solo durante il periodo in cui permangono i motivi per il rinvio della comunicazione, l’RPD oppure le direzioni generali o i servizi dell’SGC che applicano la limitazione dovrebbero riesaminare periodicamente la propria posizione.

Qualora sia applicata una limitazione di altri diritti degli interessati, l’RPD dovrebbe valutare caso per caso se la comunicazione della limitazione ne comprometta la finalità.

L’RPD dovrebbe effettuare un riesame indipendente dell’applicazione delle limitazioni imposte sulla base della presente decisione da altre direzioni generali o altri servizi dell’SGC, al fine di garantire l’osservanza della presente decisione.

È opportuno che qualsiasi limitazione applicata sulla base della presente decisione sia necessaria e proporzionata in una società democratica.

Conformemente all’articolo 41, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il GEPD è stato informato e consultato e ha espresso un parere2.

Le norme di attuazione del regolamento (UE) 2018/1725 lasciano impregiudicati il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio3, la decisione 2004/338/CE, Euratom del Consiglio4, in particolare l’allegato II, la decisione 2013/488/UE del Consiglio5, in particolare l’allegato, parte II, sezione VI, nonché la decisione del segretario generale del Consiglio/alto rappresentante per la politica estera e di sicurezza comune del 25 giugno 20016.

La decisione 2004/644/CE del Consiglio7 stabilisce norme di attuazione relative al regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio. Il regolamento (UE) 2018/1725 ha abrogato il regolamento (CE) n. 45/2001 con decorrenza dall’11 dicembre 2019. Per garantire che sia applicabile un solo insieme di norme di attuazione è opportuno abrogare la decisione 2004/644/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Sezione 1. Disposizioni generali

Art. 1 Oggetto e ambito di applicazione

1. La presente decisione stabilisce le norme e le procedure per l’applicazione del regolamento (UE) 2018/1725 da parte del Consiglio e del segretariato generale del Consiglio (SGC), nonché le ulteriori norme di attuazione relative al responsabile della protezione dei dati del Consiglio (RPD).

2. La presente decisione stabilisce le norme che il Consiglio e l’SGC devono rispettare, in relazione ai compiti di controllo, indagine, revisione e consultazione dell’RPD, quando informano gli interessati del trattamento dei loro dati personali conformemente agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725.

3. La presente decisione stabilisce le condizioni alle quali il Consiglio e l’SGC, in relazione alle attività di controllo, indagine, revisione e consultazione dell’RPD, possono limitare l’applicazione dell’articolo 4, degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725 conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), di tale regolamento.

4. La presente decisione si applica al trattamento dei dati personali da parte del Consiglio e dell’SGC ai fini dei compiti del responsabile della protezione dei dati di cui all’articolo 45 del regolamento (UE) 2018/1725, o in relazione a tali compiti.

Art. 3 Definizioni

Ai fini della presente decisione si applicano le seguenti definizioni:

  1. 1) «responsabile della protezione dei dati» (RPD): la persona designata dal segretario generale del Consiglio ai sensi dell’articolo 43 del regolamento (UE) 2018/1725;

  2. 2) «compiti dell’RPD»: i compiti di cui all’articolo 45 del regolamento (UE) 2018/1725;

  3. 3) «personale dell’SGC»: tutti i funzionari dell’SGC e qualsiasi altra persona soggetta allo statuto dei funzionari dell’Unione europea e al regime applicabile agli altri agenti dell’Unione di cui al regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio8 («statuto»), o impiegata presso l’SGC su base contrattuale (vale a dire, tirocinanti, consulenti, dipendenti di ditte appaltatrici, funzionari distaccati dagli Stati membri);

  4. 4) «titolare del trattamento delegato»: la persona a capo di una direzione generale o di un altro servizio dell’SGC che, singolarmente o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali per conto del Consiglio o dell’SGC nell’adempimento dei compiti di tale direzione generale o servizio;

  5. 5) «titolare del trattamento operativo»: il membro del personale dell’SGC con funzioni dirigenziali intermedie o alte, designato dal titolare del trattamento delegato per assisterlo nel garantire il rispetto del regolamento (UE) 2018/1725 per quanto riguarda i trattamenti di cui è responsabile e fungere da punto di contatto principale per gli interessati;

  6. 6) «coordinatore per la protezione dei dati»: il membro del personale dell’SGC designato in ogni direzione generale o altro servizio dell’SGC in consultazione con l’RPD per assistere tale direzione generale o servizio in tutti gli aspetti della protezione dei dati personali e per trattare in qualità di suo rappresentante le questioni relative alla protezione dei dati in stretta cooperazione con l’RPD.

Sezione 2. Il responsabile della protezione dei dati

Art. 4 Designazione e status dell’RPD

1. Il segretario generale del Consiglio designa l’RPD fra il personale dell’SGC e ne comunica il nome al garante europeo della protezione dei dati («GEPD»), conformemente all’articolo 43 del regolamento (UE) 2018/1725.

2. L’RPD è selezionato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 45 del regolamento (UE) 2018/1725. L’RPD ha inoltre una buona conoscenza dell’SGC, della sua struttura e delle sue norme e procedure amministrative. Ai fini dello svolgimento dei suoi compiti, l’RPD è esonerato da qualsiasi altro compito in seno all’SGC.

3. L’RPD è designato per un periodo di cinque anni e il suo mandato è rinnovabile.

4. L’RPD e il relativo personale dipendono direttamente dal segretario generale del Consiglio e gli riferiscono direttamente.

5. Nell’esecuzione dei suoi compiti, l’RPD agisce in modo indipendente e non riceve istruzioni dal segretario generale del Consiglio, dai titolari del trattamento delegati o dai titolari del trattamento operativi, o da chiunque altro, istruzioni riguardo all’applicazione interna delle disposizioni del regolamento (UE) 2018/1725 o alla sua cooperazione con il GEPD.

6. Il Consiglio e l’SGC sostengono l’RPD nell’esecuzione dei compiti di cui all’articolo 45 del regolamento (UE) 2018/1725 fornendogli le risorse necessarie per assolvere tali compiti e fornire l’accesso ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.

7. L’RPD non è rimosso o penalizzato per l’adempimento dei propri compiti; può essere rimosso solo in conformità dell’articolo 44, paragrafo 8, del regolamento (UE) 2018/1725. Al fine di ottenere il consenso del GEPD a tale destituzione a norma di tale articolo, il GEPD è consultato per iscritto. Una copia di tale consenso è trasmessa all’RPD.

8. L’SGC, in particolare i titolari del trattamento delegati e i titolari del trattamento operativi, si assicurano che l’RPD sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.

Art. 5 Compiti e funzioni

1.

L’RPD svolge tutti i compiti previsti all’articolo 45 del regolamento (UE) 2018/1725. In particolare, l’RPD deve:

  1. a) garantire l’applicazione e l’attuazione del regolamento (UE) 2018/1725 da parte del Consiglio e dell’SGC e sorvegliare l’osservanza di tale regolamento e del quadro giuridico applicabile in materia di protezione dei dati personali;

  2. b) fornire consulenza al segretario generale del Consiglio, ai titolari del trattamento delegati e ai titolari del trattamento operativi su questioni relative all’applicazione delle disposizioni relative alla protezione dei dati;

  3. c) fornire consulenza e assistenza ai titolari del trattamento delegati e ai titolari del trattamento operativi quando effettuano una valutazione d’impatto sulla protezione dei dati a norma degli articoli 39 e 40 del regolamento (UE) 2018/1725;

  4. d) garantire che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati;

  5. e) sensibilizzare in merito al quadro giuridico applicabile in materia di protezione dei dati personali e contribuire a creare una cultura della protezione dei dati personali all’interno dell’SGC.

L’RPD può essere consultato dal segretario generale, dai pertinenti responsabili del trattamento, dal comitato del personale e da qualsiasi persona, senza seguire la via gerarchica, su qualsiasi aspetto riguardante l’applicazione o l’attuazione del regolamento (UE) 2018/1725.

2. L’RPD tiene le registrazioni delle attività di trattamento in un registro disponibile al pubblico conformemente all’articolo 12.

3. L’RPD tiene inoltre un registro interno delle violazioni dei dati personali ai sensi dell’articolo 3, punto 16, del regolamento (UE) 2018/1725.

4. L’RPD fornisce consulenza al titolare del trattamento delegato, se richiesto, in merito all’applicazione di una limitazione all’applicazione degli articoli da 14 a 22, 35 e 36, nonché dell’articolo 4 del regolamento (UE) 2018/1725.

5. L’RPD organizza e presiede le riunioni periodiche dei coordinatori per la protezione dei dati.

6. L’RPD presenta al segretario generale del Consiglio una relazione annuale sulla propria attività e la rende accessibile al personale dell’SGC.

7. L’RPD coopera con i responsabili della protezione dei dati designati dalle altre istituzioni e dagli altri organi dell’Unione e partecipa regolarmente alle riunioni convocate dal GEPD o dai responsabili della protezione dei dati delle altre istituzioni e degli altri organi dell’Unione al fine di facilitare una buona cooperazione, in particolare mediante lo scambio di esperienze e migliori pratiche.

8. L’RPD è considerato il titolare del trattamento delegato per i trattamenti effettuati nell’esecuzione dei suoi compiti.

Art. 6 Competenze

Nell’adempimento dei suoi compiti e delle sue funzioni l’RPD:

  1. a) ha accesso in qualsiasi momento ai dati oggetto del trattamento e a tutti gli uffici, alle installazioni per il trattamento dei dati e ai supporti di dati;

  2. b) può chiedere pareri giuridici al servizio giuridico del Consiglio;

  3. c) può richiedere ulteriore sostegno alle direzioni generali e ai servizi competenti dell’SGC;

  4. d) può assegnare fascicoli alle direzioni generali e ai servizi dell’SGC interessate affinché sia dato un adeguato seguito;

  5. e) può, su richiesta o di propria iniziativa, svolgere indagini sulle questioni e sui fatti direttamente collegati con i suoi compiti conformemente alla procedura di cui all’articolo 14;

  6. f) può proporre provvedimenti amministrativi al segretario generale del Consiglio e formulare raccomandazioni generali sulla corretta applicazione del regolamento (UE) 2018/1725;

  7. g) può formulare raccomandazioni per il miglioramento concreto dell’applicazione del regolamento (UE) 2018/1725 destinate all’SGC, ai titolari del trattamento delegati e ai titolari del trattamento operativi, finalizzate fra l’altro a:

    1. i) chiedere al titolare del trattamento delegato o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti che gli derivano dal regolamento (UE) 2018/1725;

    2. ii) rivolgere avvertimenti al titolare del trattamento delegato o al responsabile del trattamento qualora un trattamento violi le disposizioni del regolamento (UE) 2018/1725, e chiedere loro di conformare i trattamenti a tali disposizioni, se del caso, in una determinata maniera ed entro un determinato termine;

    3. iii) chiedere al titolare del trattamento delegato o al responsabile del trattamento di sospendere i flussi di dati verso un destinatario in uno Stato membro o in un paese terzo o verso un’organizzazione internazionale;

    4. iv) chiedere al titolare del trattamento delegato o al responsabile del trattamento di riferirgli entro un termine stabilito sul seguito dato a una raccomandazione o a un consiglio formulato dall’RPD stesso;

  8. h) può chiedere i servizi di esperti esterni di tecnologie dell’informazione e della comunicazione previo consenso dell’ordinatore e conformemente al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio9;

  9. i) è invitato ai pertinenti consigli di amministrazione e comitati dell’SGC ogniqualvolta si discutano questioni relative al trattamento dei dati personali e può proporre punti pertinenti sull’ordine del giorno di tali consigli e comitati;

  10. j) può segnalare all’autorità che ha il potere di nomina dell’SGC qualsiasi inadempimento da parte di un membro del personale dell’SGC degli obblighi di cui al regolamento (UE) 2018/1725 e proporre che sia avviata un’indagine amministrativa in vista dell’eventuale applicazione delle sanzioni previste all’articolo 69 di tale regolamento;

  11. k) è responsabile delle decisioni iniziali sulle richieste di accesso a documenti detenuti dal suo ufficio ai sensi del regolamento (CE) n. 1049/2001, in consultazione con i servizi competenti dell’SGC.

Sezione 3. Diritti e obblighi degli attori nel settore della protezione dei dati

Art. 7 Consultazione e fornitura di informazione all’RPD

1. I titolari del trattamento coinvolgono l’RPD nella pianificazione e nella discussione di un’attività che comprenda il trattamento dei dati personali. L’RPD è informato di qualsiasi trattamento e di qualsiasi modifica sostanziale di un trattamento in corso.

2. L’RPD è informato dei progetti di note interne e decisioni dell’SGC direttamente connesse all’applicazione interna del regolamento (UE) 2018/1725.

3. L’RPD è informato di tutti i contatti con parti esterne relativi all’applicazione interna del regolamento (UE) 2018/1725 e di qualsiasi interazione con il GEPD, in particolare qualora quest’ultimo sia consultato o informato a norma degli articoli 40 e 41 di detto regolamento.

4. L’RPD è consultato sui progetti di accordi tra contitolari del trattamento e sui progetti di clausole contrattuali sulla protezione dei dati o di altri atti giuridici qualora i dati personali siano trattati da un responsabile del trattamento.

Art. 8 Titolari del trattamento delegati

1. Ai titolari del trattamento delegati spetta assicurare che tutti i trattamenti sotto il loro controllo siano conformi al regolamento (UE) 2018/1725.

2. In particolare, i titolari del trattamento delegati:

  1. a) designano un titolare del trattamento operativo che li assista nel garantire l’osservanza del regolamento (UE) 2018/1725, in particolare nei confronti degli interessati;

  2. b) tengono le registrazioni delle attività di trattamento svolte sotto la loro responsabilità e garantiscono che le registrazioni e la relativa informativa sulla privacy siano presentate dal titolare del trattamento operativo all’RPD per essere iscritte nel registro di cui all’articolo 12;

  3. c) sono responsabili delle attività dei responsabili del trattamento e dei subincaricati del trattamento che trattano dati personali per loro conto e garantiscono che il trattamento sia disciplinato da un contratto o da un altro atto giuridico a norma dell’articolo 29, paragrafo 3, del regolamento (UE) 2018/1725.

3. I titolari del trattamento delegati garantiscono che l’RPD sia coinvolto tempestivamente in tutte le questioni relative ai dati personali e predispongono disposizioni adeguate per garantire che il coordinatore per la protezione dei dati sia adeguatamente coinvolto in tutte le questioni relative alla protezione dei dati nella propria direzione generale o in un altro servizio dell’SGC.

4. I titolari del trattamento delegati garantiscono che siano in atto opportune misure tecniche e organizzative per dimostrare che le attività di trattamento sono conformi al regolamento (UE) 2018/1725 e impartiscono istruzioni adeguate al personale dell’SGC per garantire sia la riservatezza del trattamento sia un livello di sicurezza appropriato in relazione ai rischi che il trattamento comporta. Possono consultare l’RPD per selezionare tali misure.

5. I titolari del trattamento delegati riferiscono all’RPD in merito al trattamento di qualsiasi richiesta ricevuta da un interessato per l’esercizio dei suoi diritti e assistono l’RPD e il GEPD nell’esercizio delle rispettive funzioni, in particolare rispondendo alle loro richieste entro 30 giorni.

6. I titolari del trattamento delegati sono responsabili dell’applicazione di una limitazione all’applicazione degli articoli da 14 a 22, 35 e 36 del regolamento (UE) 2018/1725, nonché dell’articolo 4 di tale regolamento conformemente alle pertinenti norme interne. I titolari del trattamento delegati coinvolgono l’RPD in tutta la procedura nell’applicazione di tale limitazione.

7.

I titolari del trattamento delegati garantiscono che, qualora effettuino trattamenti congiuntamente con altre direzioni generali o servizi dell’SGC o qualora tali direzioni generali o servizi dell’SGC effettuino una parte del loro trattamento, siano in vigore accordi interni con tali direzioni generali o servizi.

Gli accordi di cui al primo comma determinano le responsabilità dei titolari del trattamento delegati e delle altre direzioni generali o degli altri servizi dell’SGC in merito all’adempimento degli obblighi di protezione dei dati. In particolare, tali accordi identificano il titolare del trattamento delegato che determina i mezzi e le finalità del trattamento nonché il titolare del trattamento operativo del trattamento, e, se del caso, le persone o le entità che devono assistere il titolare del trattamento operativo, tra l’altro, fornendo informazioni in caso di violazioni dei dati o nel soddisfare i diritti degli interessati.

Art. 9 Titolari del trattamento operativi

1. I titolari del trattamento operativo assistono il titolare del trattamento delegato nel garantire il rispetto del regolamento (UE) 2018/1725 per quanto riguarda i trattamenti di cui è responsabile e fungono da punto di contatto principale per gli interessati.

2. In particolare, i titolari del trattamento operativi:

  1. a) ricevono e trattano tutte le richieste degli interessati;

  2. b) preparano le registrazioni delle attività di trattamento sotto la loro responsabilità e la relativa informativa sulla privacy in consultazione con il coordinatore per la protezione dei dati;

  3. c) garantiscono che i contratti o altri atti giuridici che disciplinano il trattamento dei dati personali da parte di un responsabile del trattamento siano conformi al regolamento (UE) 2018/1725 e consultano l’RPD in merito ai progetti di clausole contrattuali sulla protezione dei dati;

  4. d) garantiscono che sia disponibile la documentazione per dimostrare la conformità al regolamento (UE) 2018/1725.

3. I titolari del trattamento operativi informano senza ingiustificato ritardo l’RPD in caso di violazione dei dati personali e gli forniscono tutte le informazioni necessarie per consentirgli di garantire che il Consiglio rispetti gli obblighi relativi alle violazioni dei dati personali di cui agli articoli 34 e 35 del regolamento (UE) 2018/1725.

4. In coordinamento con il titolare del trattamento delegato e l’RPD, i titolari del trattamento operativi informano il GEPD in caso di violazioni di dati personali, se del caso. Informano altresì gli interessati, se del caso.

5. I titolari del trattamento operativi assicurano che il coordinatore per la protezione dei dati sia tenuto al corrente di tutte le questioni relative alla protezione dei dati.

6. I titolari del trattamento operativi valutano il rischio per i diritti e le libertà dell’interessato connessi ai trattamenti di cui sono responsabili e, se del caso, effettuano una valutazione d’impatto sulla protezione dei dati. I titolari del trattamento operativi chiedono il parere dell’RPD allorquando svolgono tali valutazioni d’impatto e sulla necessità di una consultazione preventiva ai sensi degli articoli 39 e 40 del regolamento (UE) 2018/1725.

7. I titolari del trattamento operativi svolgono, su richiesta del titolare del trattamento delegato, qualsiasi altro compito rientrante nell’ambito di applicazione della presente decisione.

Art. 10 Coordinatori per la protezione dei dati

1. Ogni direzione generale o altro servizio dell’SGC, in consultazione con l’RPD, nomina uno o più coordinatori per la protezione dei dati al fine di assistere il titolare del trattamento delegato e i titolari del trattamento operativi nella propria direzione generale o in un altro servizio dell’SGC in tutti gli aspetti della protezione dei dati personali.

2. I coordinatori per la protezione dei dati sono scelti in base alla loro conoscenza ed esperienza del funzionamento della rispettiva direzione generale o in un altro servizio dell’SGC, all’idoneità per tale carica, alle competenze riguardanti la protezione dei dati, alla conoscenza dei principi di funzionamento dei sistemi d’informazione e alle competenze comunicative. Entro sei mesi dalla loro nomina, i nuovi coordinatori per la protezione dei dati completano una formazione per acquisire le competenze necessarie per il loro ruolo. Sono dispensati da tale requisito di formazione i coordinatori per la protezione dei dati che hanno precedentemente lavorato quale persona di contatto in un’altra direzione generale o in un altro servizio dell’SGC nei due anni precedenti la propria nomina.

3. La funzione di coordinatore per la protezione dei dati rientra nella descrizione delle mansioni di ciascun membro del personale dell’SGC nominato quale persona di contatto. Le responsabilità e i risultati ottenuti sono indicati nel rapporto di valutazione annuale.

4. I coordinatori per la protezione dei dati sono coinvolti in maniera appropriata e tempestiva in tutte le questioni relative alla protezione dei dati nella loro direzione generale o in un altro servizio dell’SGC e svolgono le loro funzioni in stretta cooperazione con l’RPD.

5. I coordinatori per la protezione dei dati hanno il diritto di ottenere dai responsabili del trattamento e dal personale le informazioni adeguate e necessarie per l’esecuzione dei loro compiti all’interno della loro direzione generale o di un altro servizio dell’SGC. Ciò non include l’accesso ai dati personali trattati sotto la responsabilità del titolare del trattamento delegato. I coordinatori per la protezione dei dati accedono ai dati personali solo se necessario per lo svolgimento dei loro compiti.

6. I coordinatori per la protezione dei dati sensibilizzano alle questioni legate alla protezione dei dati e assistono i titolari del trattamento delegati della loro direzione generale o di un altro servizio dell’SGC nell’adempimento dei loro obblighi, specialmente per quanto riguarda:

  1. a) l’attuazione del regolamento (UE) 2018/1725;

  2. b) l’individuazione dei titolari del trattamento operativi e la preparazione delle registrazioni dei trattamenti e delle informative sulla privacy prima che siano presentate all’RPD;

  3. c) la compilazione di un elenco di tutti i trattamenti esistenti della direzione generale o di un altro servizio dell’SGC.

7. I coordinatori per la protezione dei dati assistono i titolari del trattamento operativi della loro direzione generale o di un altro servizio dell’SGC nell’adempimento dei loro obblighi, specialmente per quanto riguarda:

  1. a) la preparazione di registrazioni dei trattamenti e delle informative sulla privacy prima che siano presentate all’RPD;

  2. b) la documentazione del trattamento;

  3. c) il trattamento delle richieste degli interessati;

  4. d) la gestione delle violazioni dei dati.

Art. 11 Personale dell’SGC

Il personale dell’SGC contribuisce a garantire l’applicazione e l’attuazione del regolamento (UE) 2018/1725. Il personale dell’SGC non ha accesso ai dati personali né tratta tali dati se non è istruito in tal senso dal titolare del trattamento delegato o del titolare del trattamento operativo, salvo che lo richieda il diritto dell’Unione o degli Stati membri.

Fonti e licenze