Decisione (UE) 2024/901 della Banca centrale europea del 12 marzo 2024 che modifica la decisione (UE) 2022/2359 che adotta norme interne relative alle limitazioni dei diritti degli interessati in relazione al funzionamento interno della Banca centrale europea (BCE/2022/42) (BCE/2024/9)
Testo vigente
IL COMITATO ESECUTIVO DELLA BANCA CENTRALE EUROPEA,
visto lo statuto del Sistema europeo di banche centrali e della Banca centrale europea, in particolare l’articolo 11.6,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l'articolo 25,
A norma dell'articolo 3, paragrafo 4, della decisione (UE) 2022/2359 della Banca centrale europea (BCE/2022/422), la decisione di limitare i diritti di un interessato che deve essere adottata dal titolare del trattamento è assunta al livello del capo o vicecapo dell'unità operativa pertinente nella quale è condotta la principale operazione di trattamento che coinvolge i dati personali.
L'articolo 3, paragrafo 4, della decisione (UE) 2022/2359 (BCE/2022/42) non specifica le circostanze in cui tale decisione di limitare i diritti di un interessato debba essere adottata a livello del vicecapo di cui sopra. È pertanto opportuno chiarire che si tratta di casi in cui il capo dell’unità operativa pertinente non è disponibile (ad esempio, è in congedo annuale o per malattia), o ha un conflitto di interessi effettivo o percepito, o ha accesso a informazioni riservate rilevanti.
Inoltre, l'articolo 3, paragrafo 4, della decisione (UE) 2022/2359 (BCE/2022/42) non considera il caso di un’unità operativa priva di vicecapo. È opportuno chiarire che in tal caso e qualora il capo dell'unità operativa pertinente non fosse disponibile, o avesse un conflitto di interessi effettivo o percepito, o avesse accesso a informazioni riservate rilevanti, la decisione di limitare i diritti di un interessato dovrebbe essere adottata al livello del superiore gerarchico competente a tal fine in quelle circostanze.
Infine, l'articolo 3, paragrafo 4, della decisione (UE) 2022/2359 (ECB/2022/42) non specifica a quale livello debba essere adottata una decisione sulla limitazione dei diritti di un interessato nel caso in cui una funzione non sia assegnata a un'unità operativa. È opportuno chiarire che tale decisione dovrebbe essere adottata a livello del titolare della funzione nella quale è condotta la principale operazione di trattamento che coinvolge i dati personali. Questo chiarimento riguarda, in particolare, la funzione di responsabile della protezione dei dati (Data Protection Officer) e la funzione dell'unità organizzativa principale per la governance e la trasformazione dei servizi.
Pertanto, è opportuno modificare di conseguenza la decisione (UE) 2022/2359 (BCE/2022/42),
HA ADOTTATO LA PRESENTE DECISIONE:
Art. 1 Modifiche
L’articolo 3 della decisione (UE) 2022/2359 (BCE/2022/42) è modificato come segue:
1) il paragrafo 4 è sostituito dal seguente: «4. La decisione di limitare i diritti di un interessato ai sensi del paragrafo 1, che deve essere adottata dal titolare del trattamento, è assunta al livello del capo dell'unità operativa pertinente nella quale è condotta la principale operazione di trattamento che coinvolge i dati personali. Se tale principale operazione di trattamento è condotta da una funzione che non fa parte di un'unità operativa, tale decisione è adottata al livello del titolare della funzione.» ;
2) è aggiunto il seguente paragrafo 5: «5. Ai fini del paragrafo 4, qualora il capo dell'unità operativa pertinente non fosse disponibile perché assente, o avesse un conflitto di interessi effettivo o percepito, o avesse accesso a informazioni riservate rilevanti, la decisione di limitare i diritti di un interessato a norma del paragrafo 1 che deve essere adottata dal responsabile del trattamento è assunta dal vicecapo dell'unità operativa in cui è condotta la principale operazione di trattamento che coinvolge i dati personali. In mancanza di tale vicecapo, tale decisione è assunta dal superiore gerarchico competente a tal fine in caso di assenza, conflitto di interessi o accesso a informazioni riservate rilevanti del capo dell’unità operativa pertinente.» .
Art. 2 Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Francoforte sul Meno, il 12 marzo 2024 La presidente della BCE Christine Lagarde