Decisione (UE) 2021/1093 del Consiglio del 28 giugno 2021 che stabilisce le norme di attuazione riguardanti il responsabile della protezione dei dati del Consiglio, l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e le limitazioni dei diritti degli interessati nel contesto dell’esecuzione dei compiti del responsabile della protezione dei dati del Consiglio, e che abroga la decisione 2004/644/CE del Consiglio

1. L’RPD tiene un registro dei trattamenti e assicura che il registro sia accessibile dal proprio sito web sull’intranet dell’SGC e dal sito web del Consiglio.

2. Il titolare del trattamento operativo notifica all’RPD qualsiasi trattamento e presenta le registrazioni delle attività di trattamento e la relativa informativa sulla privacy mediante un formulario disponibile sul sito intranet dell’SGC (nell’ambito di «Protezione dei dati»). La notificazione è trasmessa all’RPD per via elettronica. Previa consultazione dell’RPD, il titolare del trattamento delegato conferma la registrazione e la relativa informativa sulla privacy e l’RPD li pubblica nel registro.

3. La registrazione contiene tutte le informazioni di cui all’articolo 31 del regolamento (UE) 2018/1725. Tuttavia, in via eccezionale, le informazioni iscritte dall’RPD nel registro possono essere limitate a quanto è necessario per salvaguardare la sicurezza di un determinato trattamento. L’RPD è informato tempestivamente dal titolare del trattamento operativo di ogni modifica relativa a tali informazioni.

1. In caso di violazione dei dati personali, il titolare del trattamento delegato o il titolare del trattamento operativo chiede l’assistenza del coordinatore per la protezione dei dati e informa l’RPD dell’incidente senza indebito ritardo fornendo tutte le informazioni necessarie affinché possa garantire che il Consiglio rispetti gli obblighi in materia di notifica e comunicazione di una violazione dei dati personali a norma degli articoli 34 e 35 del regolamento (UE) 2018/1725.

2. L’RPD istituisce e tiene un registro interno delle violazioni dei dati personali. I titolari del trattamento delegati e i titolari del trattamento operativi forniscono le informazioni necessarie da introdurre nel registro.

3. I titolari del trattamento delegati e i titolari del trattamento operativi preparano la notifica al GEPD in consultazione con l’RPD, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.

1. L’RPD può, di propria iniziativa o su richiesta del titolare del trattamento delegato, del titolare del trattamento operativo, del responsabile del trattamento, del comitato del personale o di qualsiasi persona fisica, indagare sulle questioni e sui fatti collegati con i suoi compiti e riferire in merito alla persona che lo ha incaricato dell’indagine o al titolare del trattamento delegato, al titolare del trattamento operativo o al responsabile del trattamento.

2. Le richieste di indagine sono trasmesse per iscritto all’RPD. In caso di palese abuso del diritto a chiedere un’indagine, per esempio qualora la stessa persona fisica abbia presentato di recente una richiesta identica, l’RPD non è tenuto a rispondere al richiedente.

3. Entro quindici giorni dal ricevimento di una richiesta di indagine, l’RPD trasmette un avviso di ricevimento alla persona che ha presentato la richiesta e verifica se la richiesta debba essere trattata in maniera riservata.

4. L’RPD chiede al titolare del trattamento delegato che è responsabile del trattamento dei dati in questione che è il soggetto della richiesta d’indagine di fornire una relazione al riguardo. Il titolare del trattamento delegato risponde all’RPD entro quindici giorni. L’RPD può chiedere informazioni complementari al titolare del trattamento delegato, al titolare del trattamento operativo, al responsabile del trattamento o ad altri servizi pertinenti dell’SGC. Se del caso, può chiedere un parere sulla questione al servizio giuridico del Consiglio. Le informazioni o il parere richiesti sono forniti all’RPD entro trenta giorni.

5. L’RPD risponde alla persona che ha presentato la richiesta d’indagine entro tre mesi dal ricevimento della stessa. Tale termine può essere sospeso finché l’RPD non abbia ottenuto tutte le informazioni necessarie eventualmente richieste.

6. Nessuno può subire pregiudizio per una questione portata all’attenzione dell’RPD e riguardante un’asserita violazione del regolamento (UE) 2018/1725.

1. I diritti degli interessati di cui agli articoli da 14 a 24 del regolamento (UE) 2018/1725 possono essere esercitati solo dall’interessato o dal suo rappresentante debitamente autorizzato.

2. L’interessato trasmette le richieste per iscritto al titolare del trattamento operativo, con copia all’RPD. Se necessario, l’RPD assiste l’interessato nell’individuare il pertinente titolare del trattamento operativo. La richiesta può essere presentata in formato elettronico e contiene:

1. a) cognome, nome e dati di contatto dell’interessato e data della richiesta;

2. b) un’indicazione del diritto da esercitare e, se del caso, i documenti giustificativi relativi alla richiesta;

3. c) la categoria o le categorie dei dati personali in questione.

3. Il titolare del trattamento operativo trasmette all’interessato un avviso di ricevimento entro cinque giorni lavorativi dalla registrazione della richiesta. Chiede i chiarimenti necessari se la richiesta è poco chiara o incompleta. I termini applicabili a norma dell’articolo 14, paragrafi 3 e 4, del regolamento (UE) 2018/1725 non iniziano a decorrere fino a che non siano stati forniti i chiarimenti necessari.

4. Il titolare del trattamento operativo verifica l’identità dell’interessato conformemente all’articolo 14, paragrafo 6, del regolamento (UE) 2018/1725. Mentre l’identità viene verificata, i termini applicabili a norma dell’articolo 14, paragrafi 3 e 4, di tale regolamento non inizia a decorrere.

5. Il titolare del trattamento operativo dà seguito all’interessato o motiva per iscritto le ragioni del rifiuto totale o parziale entro i termini di cui all’articolo 14, paragrafi 3 e 4, del regolamento (UE) 2018/1725.

6. In caso di richiesta altamente complessa, irregolarità o palese abuso da parte dell’interessato nell’esercizio dei suoi diritti, qualora il trattamento di una richiesta possa presentare un rischio per i diritti e le libertà di altri interessati o qualora l’interessato sostenga che il trattamento è illecito, il titolare del trattamento operativo consulta l’RPD.

1. Qualora eserciti le sue funzioni in relazione ai diritti degli interessati a norma del regolamento (UE) 2018/1725, il Consiglio o l’SGC valuta se si applichi una delle eccezioni stabilite in tale regolamento.

2. Fatti salvi gli articoli da 18 a 22 della presente decisione, il Consiglio o l’SGC può limitare, conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento (UE) 2018/1725, l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 di tale regolamento, nonché il principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), di tale regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento, qualora l’esercizio di tali diritti e obblighi rischi di pregiudicare l’esecuzione dei compiti del responsabile della protezione dei dati, per esempio rivelandone gli strumenti e i metodi di indagine o revisione, o di ledere i diritti e le libertà di altri interessati.

3.

4. Qualsiasi limitazione dei diritti e degli obblighi di cui al paragrafo 2è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà degli interessati.

1. L’SGC pubblica sul sito web del Consiglio informative sulla protezione dei dati per informare gli interessati riguardo ai compiti del responsabile della protezione dei dati che comportano il trattamento dei loro dati personali.

2. L’SGC informa individualmente, nella forma appropriata, qualsiasi persona fisica esso consideri una persona interessata dai compiti del responsabile della protezione dei dati.

3. Qualora limiti in tutto o in parte la comunicazione agli interessati delle informazioni di cui al paragrafo 2 del presente articolo, l’SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 21.

1. Se limita, in tutto o in parte, il diritto di accesso ai dati personali degli interessati, il diritto alla cancellazione o il diritto di limitazione del trattamento di cui, rispettivamente, agli articoli 17, 19 e 20 del regolamento (UE) 2018/1725, il Consiglio o l’SGC informa l’interessato, nella risposta a una richiesta di accesso, cancellazione o limitazione del trattamento, della limitazione applicata e dei suoi principali motivi, nonché della possibilità di proporre reclamo al GEPD o ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

2. La comunicazione delle informazioni sui motivi della limitazione di cui al paragrafo 1 può essere rinviata, omessa o negata fintantoché sussiste il rischio di compromettere la finalità della limitazione stessa. Il Consiglio fornisce tali informazioni all’interessato non appena non sussista più il rischio di compromettere tale finalità.

3. L’SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 21.