diritto.io

Decisione (UE) 2022/2359 della Banca centrale europea del 22 novembre 2022 che adotta norme interne relative alle limitazioni dei diritti degli interessati in relazione al funzionamento interno della Banca centrale europea (BCE/2022/42)

Testo vigente

IL COMITATO ESECUTIVO DELLA BANCA CENTRALE EUROPEA,

visto lo statuto del Sistema europeo di banche centrali e della Banca centrale europea, in particolare l’articolo 11.6,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l’articolo 25,

La Banca centrale europea (BCE) assolve i suoi compiti in conformità ai trattati.

In conformità all’articolo 45, paragrafo 3, del regolamento (UE) 2018/1725, la decisione (UE) 2020/655 della Banca centrale europea (BCE/2020/28)2 stabilisce le norme generali di attuazione del regolamento (UE) 2018/1725 per quanto riguarda la BCE. Specifica in particolare le norme relative alla nomina e al ruolo del responsabile della protezione dei dati (Data Protection Officer, DPO) della BCE, tra cui le funzioni, i doveri e le competenze dello stesso.

Nell’assolvimento dei compiti ad essa conferiti, la BCE, e in particolare l’unità organizzativa interessata, agisce in qualità di responsabile del trattamento dei dati nella misura in cui essa determina, da sola o insieme ad altri, le finalità e i mezzi del trattamento dei dati personali.

In relazione al funzionamento interno della BCE, sono assegnati compiti a varie unità operative della BCE [tra cui la direzione generale Risorse umane (DG/HR), l’Ufficio di conformità e governance (CGO), la direzione Revisione interna (D/IA) e la direzione generale Servizi legali (DG/L)], nell’ambito del quadro giuridico che disciplina l’impiego presso la BCE, che comportano il trattamento dei dati personali. Tali compiti potrebbero comprendere, ad esempio, azioni intraprese in relazione a potenziali violazioni di doveri professionali (incluse indagini relative a comportamenti inappropriati ai sensi della politica della BCE in materia di dignità sul posto di lavoro e il seguito dato alla segnalazione di eventuali attività illecite o violazioni dei doveri professionali inviata tramite qualsiasi canale, incluso tra gli altri , lo strumento per la segnalazione whistleblowing della BCE); compiti relativi alle procedure di selezione; compiti svolti dalla DG/HR nell’assolvimento delle proprie funzioni in relazione a: gestione delle prestazioni, promozione e nomina diretta del personale della BCE, sviluppo professionale, compresa la mappatura ragionata dei talenti (Calibrations of talent) in seno alle unità operative e tra di esse, aumenti salariali e bonus e decisioni in materia di mobilità e di congedi; l’esame dei ricorsi interni promossi dal personale della BCE (anche tramite riesame amministrativo, procedure di reclamo, procedure speciali di ricorso o commissioni mediche) e il seguito datovi; i compiti consultivi del CGO in base al quadro etico della BCE (stabiliti nella parte 0 delle norme sul personale della BCE) e i compiti del CGO relativi al monitoraggio a fini di conformità delle operazioni finanziarie private (inclusa la cooperazione con qualsiasi fornitore di servizi esterno nominato ai sensi dell’articolo 0.4.3.3 delle norme sul personale della BCE); e gli audit effettuati dalla D/IA e i compiti svolti nel contesto della circolare amministrativa 01/2006 sulle indagini amministrative interne3 nello svolgimento di attività di indagine e di indagini amministrative in situazioni che possono presentare eventuali profili disciplinari riguardante il personale della BCE (inclusi i compiti delle persone che svolgono l’indagine o dei membri della commissione di indagine qualora siano tenuti a raccogliere prove e accertare i fatti rilevanti).

Ai sensi della decisione (UE) 2016/456 della Banca centrale europea (BCE/2016/3)4, la BCE deve trasmettere all’Ufficio europeo per la lotta antifrode, su richiesta di quest’ultimo o di propria iniziativa, informazioni in suo possesso che facciano sospettare l’esistenza di eventuali casi di frode, corruzione o di ogni altra attività illecita lesiva degli interessi finanziari dell’Unione. La decisione (UE) 2016/456 (BCE/2016/3) dispone che in tal caso gli interessati siano informati rapidamente, qualora ciò non pregiudichi l’indagine, e che, ad ogni modo, non possono trarsi conclusioni che riguardino personalmente gli interessati, senza aver dato modo agli interessati di esprimersi su tutti i fatti che li riguardano, compresa ogni prova esistente contro di essi.

Ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28), il DPO deve indagare su questioni e incidenti relativi alla protezione dei dati, di propria iniziativa o su richiesta della BCE.

La divisione protezione e sicurezza in seno alla direzione amministrazione è responsabile della conduzione di indagini volte a garantire la protezione della sicurezza fisica presso la BCE di persone, locali e beni, della raccolta di informazioni sulle minacce e dell’analisi degli incidenti di sicurezza.

La BCE ha il dovere di cooperare lealmente con le autorità nazionali, comprese le autorità nazionali responsabili delle indagini penali. In particolare, ai sensi della decisione (UE) 2016/1162 della Banca centrale europea (BCE/2016/19)5, su richiesta di un’autorità nazionale responsabile delle indagini penali, la BCE può fornire informazioni riservate in suo possesso connesse ai compiti conferiti alla BCE dal regolamento (UE) n. 1024/2013 del Consiglio6 o ad altri compiti connessi al SEBC o all’Eurosistema, rispettivamente a una ANC o a una BCN ai fini della comunicazione all’autorità nazionale responsabile delle indagini penali in questione a determinate condizioni.

Ai sensi del regolamento (UE) 2017/1939 del Consiglio7, la BCE deve comunicare senza indugio eventuali informazioni alla Procura europea (European Public Prosecutor’s Office, EPPO) qualora sia stato individuato un presunto reato di sua competenza.

La BCE deve cooperare con gli organi dell’Unione che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta, quali il Garante europeo della protezione dei dati, la Corte dei conti europea e il Mediatore europeo, nello svolgimento dei rispettivi compiti. In tale contesto, la BCE può trattare dati personali per essere in grado di rispondere a richieste, consultarsi con tali organi e fornire loro informazioni.

Ai sensi del quadro interno per la risoluzione delle controversie della BCE, il personale della BCE può contattare un mediatore in qualsiasi momento e con qualsiasi mezzo per chiedere il sostegno del mediatore nella risoluzione o nella prevenzione di una controversia di natura professionale. Tale quadro prevede che tutte le comunicazioni con il mediatore siano tutelate dalla riservatezza. Tutto ciò che è menzionato nel corso del procedimento di mediazione è considerato privilegiato e ciascuna parte coinvolta nella mediazione deve utilizzare tali informazioni esclusivamente ai fini del procedimento di mediazione, fatti salvi eventuali procedimenti giudiziari. In via eccezionale, il mediatore può comunicare informazioni laddove appaia necessario per prevenire un rischio imminente di danno grave all’integrità fisica o mentale di una persona.

La BCE si adopera per garantire condizioni di lavoro che tutelino la salute e la sicurezza del proprio personale e ne rispettino la dignità sul posto di lavoro, fornendo servizi di consulenza per sostenere il personale. Il personale della BCE può richiedere i servizi di un consulente sociale in relazione a qualsiasi questione, comprese questioni emotive, personali e professionali. Il consulente sociale non può avere accesso al fascicolo personale di un membro del personale della BCE, salvo espressa autorizzazione di quest’ultimo. Non possono essere comunicate informazioni ricevute o dichiarazioni rese da un soggetto al consulente sociale, a meno che la comunicazione non sia esplicitamente autorizzata da tale soggetto o imposta dalla legge.

In relazione al suo funzionamento interno, la BCE tratta diverse categorie di dati che possono essere collegati a una persona fisica identificata o identificabile. Gli elenchi non esaustivi di tali categorie di dati personali trattati dalla BCE in relazione al suo funzionamento interno figurano negli allegati della presente decisione. I dati personali potrebbero anche far parte di una valutazione, che include una valutazione condotta dall’unità operativa responsabile in relazione alla questione oggetto di esame, tra cui, ad esempio, una valutazione da parte delle DG/HR, DG/L, D/IA o da parte di un comitato disciplinare o di una commissione d’inchiesta in merito a una violazione dei doveri professionali.

Nell’ambito dei considerando da 4 a 13, è opportuno precisare i motivi per i quali la BCE può limitare i diritti degli interessati.

L’obiettivo della BCE nell’assolvimento dei propri compiti è perseguire importanti obiettivi di interesse pubblico generale dell’Unione. Pertanto, è opportuno che l’assolvimento di tali compiti sia salvaguardato come previsto dal regolamento (UE) 2018/1725, in particolare l’articolo 25, paragrafo 1, lettere b), c), d), f), g) e h).

In conformità all’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, le limitazioni all’applicazione degli articoli da 14 a 22, 35 e 36 e, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22, dell’articolo 4 di tale regolamento dovrebbero essere stabilite in norme interne o in atti giuridici adottati sulla base dei trattati. Di conseguenza, la BCE dovrebbe stabilire le norme in base alle quali può limitare i diritti degli interessati nello svolgimento dei suoi compiti.

La BCE dovrebbe spiegare il motivo per cui tali limitazioni dei diritti degli interessati siano strettamente necessarie e proporzionate in una società democratica per salvaguardare gli obiettivi perseguiti nell’esercizio dei propri pubblici poteri e delle funzioni ad essi collegate, nonché il modo in cui la BCE rispetta l’essenza dei diritti e delle libertà fondamentali imponendo nel contempo limitazioni di questo tipo.

In tale contesto, la BCE è tenuta a rispettare, nella misura più ampia possibile, i diritti fondamentali degli interessati, in particolare quelli relativi al diritto di informazione, accesso e rettifica, al diritto alla cancellazione, alla limitazione del trattamento, al diritto di comunicazione di una violazione dei dati personali all’interessato o alla riservatezza delle comunicazioni di cui al regolamento (UE) 2018/1725.

Tuttavia, la BCE può essere obbligata a limitare le informazioni fornite agli interessati e i diritti di altri interessati per tutelare l’assolvimento dei propri compiti, in particolare i propri accertamenti e le proprie procedure, gli accertamenti e le procedure di altre autorità pubbliche e i diritti e le libertà fondamentali di altre persone connesse ai propri accertamenti o ad altre procedure.

La BCE dovrebbe revocare una limitazione già applicata nella misura in cui non sia più necessaria.

Il DPO dovrebbe riesaminare l’applicazione delle limitazioni al fine di garantire la conformità alla presente decisione e al regolamento (UE) 2018/1725.

Sebbene la presente decisione stabilisca le norme in base alle quali la BCE può limitare i diritti degli interessati quando tratta dati personali in relazione al suo funzionamento interno, il Comitato esecutivo ha adottato una decisione separata che adotta norme interne relative alla limitazione dei diritti nello svolgimento dei suoi compiti di vigilanza.

La BCE può applicare un’eccezione ai sensi del regolamento (UE) 2018/1725 rendendo inutile prendere in considerazione una limitazione, incluse in particolare quelle di cui agli articoli 15, paragrafo 4, 16, paragrafo 5, 19, paragrafo 3, e 35, paragrafo 3, di tale regolamento.

Le deroghe ai diritti degli interessati di cui agli articoli 17, 18, 20, 21, 22 e 23 del regolamento (UE) 2018/1725 a fini di archiviazione nel pubblico interesse possono essere previste nelle norme interne o negli atti giuridici adottati dalla BCE sulla base dei trattati in relazione alla sua archiviazione, fatte salve le condizioni e le garanzie richieste in conformità all’articolo 25, paragrafo 4, del regolamento (UE) 2018/1725.

Il Garante europeo della protezione dei dati è stato consultato in conformità all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725 e ha emesso un parere il 12 marzo 2021.

Il Comitato del personale è stato consultato,

HA ADOTTATO LA PRESENTE DECISIONE:

Art. 1 Oggetto e ambito di applicazione

1. La presente decisione stabilisce le norme relative alla limitazione dei diritti degli interessati da parte della BCE quando esercita attività di trattamento dei dati personali come annotate nel registro centrale in relazione al proprio funzionamento interno.

2. I diritti degli interessati che possono essere limitati sono precisati nei seguenti articoli del regolamento (UE) 2018/1725:

  1. a) articolo 14 (informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato);

  2. b) articolo 15 (informazioni da fornire qualora i dati personali siano raccolti presso l’interessato);

  3. c) articolo 16 (informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato);

  4. d) articolo 17 (diritto di accesso dell’interessato);

  5. e) articolo 18 (diritto di rettifica);

  6. f) articolo 19 [diritto alla cancellazione («diritto all’oblio»)];

  7. g) articolo 20 (diritto di limitazione del trattamento);

  8. h) articolo 21 (obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento);

  9. i) articolo 22 (diritto alla portabilità dei dati);

  10. j) articolo 35 (comunicazione di una violazione dei dati personali all’interessato);

  11. k) articolo 36 (riservatezza delle comunicazioni elettroniche);

  12. l) articolo 4, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi previsti negli articoli da 14 a 22 del regolamento (UE) 2018/1725.

Art. 2 Definizioni

Ai fini della presente decisione si applicano le seguenti definizioni:

  1. 1) per «trattamento» si intende il trattamento ai sensi dell’articolo 3, punto 3), del regolamento (UE) 2018/1725;

  2. 2) per «dati personali» si intendono i dati personali ai sensi dell’articolo 3, punto 1), del regolamento (UE) 2018/1725;

  3. 3) per «interessato» si intende una persona fisica identificata o identificabile; si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare con riferimento a un identificativo quale un nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale di tale persona fisica;

  4. 4) per «registro centrale» si intende il repertorio di tutte le attività di trattamento dei dati personali svolte presso la BCE accessibile al pubblico, tenuto dal DPO e disciplinato all’articolo 9 della decisione (UE) 2020/655 (BCE/2020/28);

  5. 5) per «titolare del trattamento» si intende la BCE, in particolare l’unità organizzativa competente interna alla BCE che, singolarmente o insieme ad altre, determina le finalità e i mezzi del trattamento di dati personali e che è responsabile delle operazioni di trattamento;

  6. 6) per «istituzioni e organi dell’Unione» si intendono le istituzioni e gli organi dell’Unione ai sensi dell’articolo 3, punto 10), del regolamento (UE) 2018/1725.

Art. 3 Applicazione delle limitazioni

Confronta versioni 2

1.

Per le attività di trattamento dei dati personali di cui all’articolo 1, paragrafo 1, il titolare del trattamento può limitare i diritti di cui all’articolo 1, paragrafo 2, per salvaguardare gli interessi e gli obiettivi di cui all’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, qualora l’esercizio di tali diritti ponga a rischio uno dei seguenti elementi:

  1. a) la valutazione e la segnalazione di eventuali violazioni dei doveri professionali e, se necessario, l’indagine e il seguito successivi, compresa la sospensione dalle funzioni, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725.

  2. b) le procedure informali e/o formali in materia di dignità sul posto di lavoro, compreso l’esame dei casi che possono sfociare in una procedura di cui alla parte 0.5 delle norme sul personale della BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

  3. c) il corretto svolgimento delle funzioni della DG/HR ai sensi del quadro giuridico che disciplina l’impiego presso la BCE in relazione alla gestione delle prestazioni, alle procedure di promozione o alla nomina diretta del personale della BCE, alle procedure di selezione e allo sviluppo professionale, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere c) e/o h), del regolamento (UE) 2018/1725;

  4. d) l’esame dei ricorsi interni proposti dal personale della BCE (anche attraverso procedure di riesame amministrativo o di reclamo, procedure speciali di ricorso oppure commissioni mediche) e il seguito datovi, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

  5. e) la segnalazione di eventuali attività illecite o violazioni dei doveri professionali tramite lo strumento per la segnalazione whistleblowing della BCE o la valutazione delle richieste dell’Ufficio di conformità e governance (Compliance and Governance Office, CGO) di protezione degli informatori o dei testimoni da ritorsioni, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

  6. f) le attività del CGO in base al quadro etico della BCE stabilito nella parte 0 delle norme sul personale della BCE e alle norme sulla selezione e nomina di cui alla parte 1A delle norme sul personale della BCE, nonché il monitoraggio a fini di conformità delle attività finanziarie private incluse sia le funzioni svolte dal fornitore di servizi esterni nominato ai sensi dell’articolo 0.4.3.3 delle norme sul personale della BCE, che la valutazione e il seguito dato a potenziali violazioni che risultano da tale monitoraggio da parte del CGO, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

  7. g) verifiche effettuate dalla direzione Revisione interna, attività di indagine e indagini amministrative interne, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

  8. h) lo svolgimento delle funzioni della BCE in virtù della decisione (UE) 2016/456 (BCE/2016/3), in particolare il dovere della BCE di segnalare qualsiasi informazione in merito ad attività illecite, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), g) e/o h), del regolamento (UE) 2018/1725;

  9. i) indagini condotte dal DPO in merito alle attività di trattamento svolte presso la BCE ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28), la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b) e/o h), del regolamento (UE) 2018/1725;

  10. j) indagini volte a garantire la sicurezza fisica presso la BCE di persone, locali e beni, gestite internamente o con sostegno esterno, la raccolta di informazioni sulle minacce e l’analisi degli incidenti di sicurezza, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

  11. k) procedimenti giudiziari, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

  12. l) la cooperazione tra la BCE e le autorità nazionali responsabili delle indagini penali, in particolare la comunicazione di informazioni riservate detenute dalla BCE a fini di comunicazione a un’autorità nazionale responsabile delle indagini penali su richiesta di quest’ultima, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

  13. m) la cooperazione tra la BCE e l’EPPO ai sensi del regolamento (UE) 2017/1939, in particolare il dovere della BCE di fornire informazioni sui reati, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

  14. n) la cooperazione con gli organi dell’Unione che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta la BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere c), d), g) e/o h), del regolamento (UE) 2018/1725;

  15. o) lo svolgimento dei compiti di un mediatore ai sensi del quadro interno per la risoluzione delle controversie presso la BCE, in particolare fornendo sostegno per contribuire a risolvere o prevenire una controversia di natura professionale, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725;

  16. p) la prestazione di servizi di consulenza da parte del consulente sociale a sostegno del personale della BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725.

Le categorie di dati personali in relazione ai quali le limitazioni di cui al paragrafo 1 possono essere applicate sono precisate negli allegati da I a XIV alla presente decisione.

2. Il responsabile del trattamento può applicare una limitazione solo se, sulla base di una valutazione caso per caso, conclude che la limitazione:

  1. a) è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà dell’interessato; e

  2. b) rispetta l’essenza dei diritti e delle libertà fondamentali in una società democratica.

3. Il titolare del trattamento documenta la propria valutazione in una nota di valutazione interna che comprende la base giuridica, le motivazioni della limitazione, i diritti degli interessati oggetto di limitazione, gli interessati, la necessità e la proporzionalità della limitazione e la sua durata probabile.

4. La decisione di limitare i diritti di un interessato ai sensi del paragrafo 1, che deve essere adottata dal titolare del trattamento, è assunta al livello del capo dell'unità operativa pertinente nella quale è condotta la principale operazione di trattamento che coinvolge i dati personali. Se tale principale operazione di trattamento è condotta da una funzione che non fa parte di un'unità operativa, tale decisione è adottata al livello del titolare della funzione.

5.

Ai fini del paragrafo 4, qualora il capo dell'unità operativa pertinente non fosse disponibile perché assente, o avesse un conflitto di interessi effettivo o percepito, o avesse accesso a informazioni riservate rilevanti, la decisione di limitare i diritti di un interessato a norma del paragrafo 1 che deve essere adottata dal responsabile del trattamento è assunta dal vicecapo dell'unità operativa in cui è condotta la principale operazione di trattamento che coinvolge i dati personali.

In mancanza di tale vicecapo, tale decisione è assunta dal superiore gerarchico competente a tal fine in caso di assenza, conflitto di interessi o accesso a informazioni riservate rilevanti del capo dell’unità operativa pertinente.

Art. 4 Comunicazione di informazioni generali sulle limitazioni

Il titolare del trattamento mette a disposizione le seguenti informazioni di carattere generale sulle potenziali limitazioni dei diritti dell’interessato:

  1. a) il titolare del trattamento precisa i diritti che possono essere limitati, i motivi della limitazione e la sua potenziale durata;

  2. b) il titolare del trattamento include le informazioni di cui alla lettera a) nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri delle attività di trattamento di cui all’articolo 31 del regolamento (UE) 2018/1725.

Art. 5 Limitazione del diritto di accesso degli interessati, del diritto di rettifica, del diritto di cancellazione o di limitazione del trattamento

1. Qualora limiti, in tutto o in parte, il diritto di accesso, il diritto di rettifica, il diritto di cancellazione o il diritto di limitazione di trattamento di cui, rispettivamente, agli articoli 17, 18, 19, paragrafo 1, e 20, paragrafo 1, del regolamento (UE) 2018/1725, il titolare del trattamento, nella sua risposta scritta alla richiesta, informa l’interessato entro il termine di cui all’articolo 11, paragrafo 5, della decisione (UE) 2020/655 (BCE/2020/28), dei motivi principali della limitazione, della possibilità di proporre reclamo al Garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

2. Il titolare del trattamento conserva la nota di valutazione interna di cui all’articolo 3, paragrafo 3, e, se del caso, i documenti contenenti i relativi elementi di fatto e di diritto e li mette a disposizione del DPO e del Garante europeo della protezione dei dati su richiesta.

3. Il titolare del trattamento può rinviare, omettere o negare la comunicazione di informazioni relative ai motivi della limitazione di cui al paragrafo 1, fintantoché sussiste il rischio di compromettere la finalità della limitazione stessa. Il titolare del trattamento è tenuto a mettere a disposizione le informazioni all’interessato non appena ritenga che ciò non comprometta più la finalità della limitazione.

Art. 6 Durata delle limitazioni

1. Il titolare del trattamento revoca la limitazione non appena cessano di sussistere le circostanze che la giustificavano.

2. Qualora il controllore revochi una limitazione ai sensi del paragrafo 1, è tenuto a:

  1. a) se non lo ha già fatto, informare l’interessato dei principali motivi su cui si basava l’applicazione di una limitazione;

  2. b) informare l’interessato del suo diritto a proporre reclamo al Garante europeo della protezione dei dati o a proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea;

  3. c) concedere all’interessato il diritto che era oggetto della limitazione ormai revocata.

3. Il titolare del trattamento riesamina ogni sei mesi la necessità di mantenere una limitazione applicata a norma della presente decisione e documenta il riesame in una nota di valutazione interna.

Art. 7 Garanzie

La BCE applica garanzie organizzative e tecniche come indicato nell’allegato XV per prevenire abusi o accessi o trasferimenti illeciti.

Art. 8 Riesame da parte del DPO

1. Qualora limiti l’applicazione dei diritti dell’interessato, il titolare del trattamento è tenuto a coinvolgere costantemente il DPO. In particolare, si applicano le seguenti disposizioni:

  1. a) il titolare del trattamento consulta senza indebito ritardo il DPO;

  2. b) su richiesta del DPO, il titolare del trattamento fornisce al DPO l’accesso a tutti i documenti contenenti i relativi elementi di fatto e di diritto, compresa la nota di valutazione interna di cui all’articolo 3, paragrafo 3;

  3. c) il titolare del trattamento documenta il modo in cui è stato coinvolto il DPO, comprese le informazioni pertinenti condivise con quest’ultimo, in particolare la data della sua prima consultazione di cui alla lettera a);

  4. d) il DPO può chiedere al titolare del trattamento di riesaminare la limitazione;

  5. e) il titolare del trattamento informa il DPO per iscritto dell’esito del riesame richiesto senza indebito ritardo e in ogni caso prima dell’applicazione di qualsiasi limitazione.

2. Il titolare del trattamento informa il DPO quando la limitazione è stata riesaminata a norma dell’articolo 6, paragrafo 3, o quando è stata revocata.

Art. 9 Entrata in vigore

La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Francoforte sul Meno, il 22 novembre 2022 La presidente della BCE Christine Lagarde

Fonti e licenze