diritto.io

Decisione N. 2/2026 del segretario generale del Consiglio dell'Unione europea del 30 gennaio 2026 che stabilisce le disposizioni di attuazione relative all'applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e alla limitazione dei diritti degli interessati ai fini delle misure restrittive C/2026/866

Testo vigente

IL SEGRETARIO GENERALE DEL CONSIGLIO DELL'UNIONE EUROPEA,

visto il regolamento (UE) 2018/1725, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l'articolo 25,

visto il parere del Garante europeo della protezione dei dati (GEPD) del 13 giugno 2025, consultato a norma dell'articolo 41, paragrafo 2, del regolamento (UE) 2018/1725,

Il regolamento (UE) 2018/1725 stabilisce i principi e le norme applicabili al trattamento di dati personali da parte di tutte le istituzioni e di tutti gli organi dell'Unione nonché i diritti degli interessati.

In alcuni casi, il segretariato generale del Consiglio (SGC) può essere tenuto a conciliare i diritti degli interessati di cui al regolamento (UE) 2018/1725 con gli obiettivi delle misure restrittive. Può essere inoltre tenuto a bilanciare i diritti dell'interessato con i diritti e le libertà fondamentali di altri interessati. A tal fine, l'articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre a ogni istituzione od organo dell'Unione la possibilità di limitare l'applicazione degli articoli da 14 a 21 e degli articoli 35 e 36 del regolamento (UE) 2018/1725, nonché dell'articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 21 di tale regolamento. A meno che non siano previste limitazioni in un atto giuridico adottato sulla base dei trattati, è necessario adottare norme interne in base alle quali l'SGC sia autorizzato a limitare detti diritti.

Il Consiglio può adottare misure restrittive nei confronti di persone fisiche o giuridiche, di gruppi o di entità non statali nel quadro della politica estera e di sicurezza comune (PESC). Gli atti giuridici istitutivi delle misure restrittive sono proposti dall'alto rappresentante per quanto riguarda la decisione PESC, sulla base dell'articolo 29 del trattato sull'Unione europea (TUE). Le misure restrittive possono comprendere embarghi sull'esportazione di armi e di materiale utilizzato a fini di repressione interna, divieti di ingresso nell'Unione nei confronti di persone designate, congelamento dei beni nei confronti di persone ed entità designate, nonché altre misure economiche generali quali restrizioni all'importazione o all'esportazione di determinati beni o servizi, divieti di prestazione di servizi finanziari o di altro tipo e restrizioni all'accesso ai mercati dei capitali. Inoltre, se le misure restrittive consistono in restrizioni economiche o finanziarie che devono essere attuate direttamente dagli operatori economici dell'Unione, l'alto rappresentante e la Commissione presentano una proposta congiunta di regolamento, sulla base dell'articolo 215 del trattato sul funzionamento dell'Unione europea (TFUE).

La posizione comune 2001/931/PESC del Consiglio2 e il regolamento (CE) n. 2580/2001 del Consiglio3 stabiliscono i criteri per l'inserimento in elenco di persone, gruppi ed entità coinvolti in atti terroristici e oggetto di misure restrittive. La posizione comune 2001/931/PESC e il regolamento (CE) n. 2580/2001 individuano inoltre le azioni che costituiscono a tal fine atti terroristici e definiscono le misure restrittive da applicare. Tali misure riguardano il congelamento dei fondi e delle risorse economiche, nonché misure relative alla cooperazione di polizia e giudiziaria.

La decisione (PESC) 2016/1693 del Consiglio4 e i regolamenti (CE) n. 881/2002 del Consiglio5 e (UE) 2016/16866 del Consiglio stabiliscono il quadro giuridico dell'Unione per l'imposizione di restrizioni di viaggio nei confronti di persone, come pure di un embargo sulle armi e del congelamento dei beni nei confronti di persone ed entità designate dal Consiglio di sicurezza delle Nazioni Unite come associate all'ISIL (Da'esh)/Al-Qaeda.

In fase di elaborazione e riesame delle misure restrittive, i servizi competenti dell'SGC trattano diversi tipi di dati personali, compresi i nomi (pseudonimi inclusi) e (se noti) la data e il luogo di nascita, la cittadinanza, i numeri di passaporto e carta d'identità, il genere, l'indirizzo, la funzione o la professione, l'esperienza professionale, l'istruzione, gli interessi commerciali, la composizione familiare, i dati finanziari, le decisioni amministrative nazionali, le condanne penali e i rinvii a giudizio. Tra i dati trattati possono figurare anche il nome, l'indirizzo professionale, il passaporto e le informazioni di contatto professionali dell'avvocato o degli avvocati della persona interessata che sono necessari ai fini della corrispondenza. Se del caso, sono trattate anche informazioni sull'appartenenza a organizzazioni terroristiche. I servizi competenti garantiscono che i dati personali trattati siano adeguati, pertinenti e non eccessivi rispetto alle finalità dell'elaborazione della misura restrittiva. Le persone oggetto di una misura restrittiva dovrebbero esserne notificate mediante comunicazione personale, se il loro indirizzo è noto, o mediante un avviso pubblicato nella Gazzetta ufficiale dell'Unione europea. Dovrebbero inoltre essere informate del tipo di dati che sono o saranno trattati, di come tali dati saranno trattati e dei diritti di cui godono al riguardo.

In fase di elaborazione e riesame delle decisioni che designano le persone fisiche e giuridiche, tutti i dati personali sono condivisi con gli Stati membri, la Commissione europea e il servizio europeo per l'azione esterna (SEAE). Nel contesto di procedimenti giudiziari, il Consiglio potrebbe avvalersi anche di elementi di dati personali durante il procedimento.

Tutti i regimi di misure restrittive sono sottoposti a un riesame periodico per quanto riguarda gli obiettivi dichiarati e l'efficacia delle misure, nonché per tenere conto di informazioni aggiornate e delle osservazioni ricevute. Il processo di riesame può comportare uno scambio di corrispondenza tra il Consiglio e le persone o le entità inserite in elenco o i loro avvocati, nell'ambito del quale possono essere trattati dati personali (compresa la notifica preventiva di un progetto di motivazione, informazioni aggiornate, osservazioni e richieste di cancellazione dall'elenco, nonché domande di accesso del pubblico o di accesso privilegiato al fascicolo).

Durante l'elaborazione e il riesame delle misure restrittive, è inoltre possibile che dati personali siano trattati nell'ambito della comunicazione con organizzazioni internazionali o regionali e con paesi terzi strettamente sulla base del principio della «necessità di sapere», per importanti motivi di interesse pubblico e per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Qualora sussista un grave rischio che l'applicazione degli articoli da 14 a 21 e degli articoli 35 e 36 del regolamento (UE) 2018/1725 pregiudichi l'efficacia delle misure restrittive, può essere necessario limitare l'applicazione di tali articoli. In tali casi è necessario conciliare i diritti degli interessati previsti dal regolamento (UE) 2018/1725 con la necessità del Consiglio di garantire l'efficacia della misura restrittiva. Qualsiasi limitazione del diritto degli interessati oggetto di una misura restrittiva dovrebbe essere applicata solo in circostanze limitate ed essere gestita in modo trasparente e proporzionato in termini di portata e durata.

Può essere necessario proteggere l'anonimato di una fonte. In tal caso, il diritto di accesso all'identità, alle testimonianze e ad altri dati personali di tali persone può essere limitato entro i limiti imposti dal rispetto dei diritti della difesa.

L'SGC dovrebbe applicare limitazioni ai diritti degli interessati solo se dette limitazioni rispettano l'essenza dei diritti e delle libertà fondamentali, sono strettamente necessarie e costituiscono una misura proporzionata in una società democratica. L'SGC dovrebbe indicare i motivi che giustificano tali limitazioni.

In conformità del principio di responsabilizzazione, il servizio competente dell'SGC dovrebbe registrare l'applicazione di eventuali limitazioni e conservare tale registrazione in un registro.

L'articolo 25, paragrafo 6, del regolamento (UE) 2018/1725 obbliga il titolare del trattamento a informare gli interessati dei principali motivi della limitazione e del loro diritto di proporre reclamo al GEPD.

A norma dell'articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, l'SGC ha il diritto di rinviare, omettere o negare la comunicazione all'interessato delle informazioni relative ai motivi dell'applicazione di una limitazione qualora tale comunicazione annulli in qualsiasi modo l'effetto della limitazione. L'SGC dovrebbe valutare caso per caso se la comunicazione della limitazione ne annullerebbe l'effetto.

Le limitazioni dovrebbero essere revocate non appena cessino di sussistere le condizioni che le giustificano o qualora il loro mantenimento leda i diritti della difesa. La necessità di misure restrittive dovrebbe essere valutata periodicamente.

Il responsabile della protezione dei dati (RPD) dovrebbe essere consultato a tempo debito, essere informato di eventuali limitazioni da applicare e avere la possibilità di formulare osservazioni sulla loro conformità alla presente decisione,

DECIDE:

Art. 1 Ambito di applicazione

1. La presente decisione stabilisce le norme relative alle condizioni alle quali il segretariato generale del Consiglio (SGC) può limitare l'applicazione degli articoli da 14 a 21 e degli articoli 35 e 36 del regolamento (UE) 2018/1725, nonché dell'articolo 4 del medesimo regolamento, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 21 di tale regolamento, conformemente al suo articolo 25.

2. Ai fini della presente decisione l'SGC è considerato il titolare del trattamento ai sensi dell'articolo 3, punto 8, del regolamento (UE) 2018/1725. L'SGC è rappresentato dal suo segretario generale.

Art. 2 Limitazioni

1. L'SGC può limitare l'applicazione degli articoli da 14 a 21 e degli articoli 35 e 36 del regolamento (UE) 2018/1725, nonché dell'articolo 4 del medesimo regolamento, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 21 del regolamento (UE) 2018/1725 in uno qualsiasi dei seguenti casi:

  1. a) a norma dell'articolo 25, paragrafo 1, lettere da a) a d), e lettere g) e h), del regolamento (UE) 2018/1725, quando il Consiglio elabora, adotta e riesamina le misure restrittive previste in atti giuridici fondati sull'articolo 29 del trattato sull'Unione europea (TUE) e sull'articolo 215 del trattato sul funzionamento dell'Unione europea (TFUE); nonché a norma della posizione comune 2001/931/PESC, del regolamento (CE) n. 2580/2001, della decisione (PESC) 2016/1693 e dei regolamenti (CE) n. 881/2002 e (UE) 2016/1686 del Consiglio;

  2. b) a norma dell'articolo 25, paragrafo 1, lettere da a) a d), e lettere g) e h), del regolamento (UE) 2018/1725, quando garantisce che paesi terzi possano segnalare in via riservata fatti che danno luogo all'elaborazione e al riesame delle misure restrittive previste in atti giuridici fondati sull'articolo 29 TUE e sull'articolo 215 TFUE; nonché a norma della posizione comune 2001/931/PESC, del regolamento (CE) n. 2580/2001, della decisione (PESC) 2016/1693 e dei regolamenti (CE) n. 881/2002 e (UE) 2016/1686 del Consiglio;

  3. c) a norma dell'articolo 25, paragrafo 1, lettere da a) a d), e lettere g) e h), del regolamento (UE) 2018/1725, quando fornisce o riceve assistenza e cooperazione a o da altri organi, istituzioni e organismi dell'Unione ai sensi dei pertinenti accordi sul livello dei servizi, memorandum d'intesa e accordi di cooperazione;

  4. d) a norma dell'articolo 25, paragrafo 1, lettere da a) a d), e lettere g) e h), del regolamento (UE) 2018/1725, quando fornisce o riceve assistenza e cooperazione a e da autorità pubbliche degli Stati membri, su loro richiesta o di propria iniziativa;

  5. e) a norma dell'articolo 25, paragrafo 1, lettere da a) a d), e lettere g) e h), del regolamento (UE) 2018/1725, quando fornisce o riceve assistenza e cooperazione a e da autorità nazionali di paesi terzi e organizzazioni internazionali o regionali, su loro richiesta o di propria iniziativa; oppure

  6. f) a norma dell'articolo 25, paragrafo 1, lettere e) e h), del regolamento (UE) 2018/1725, quando tratta dati personali nell'ambito di procedimenti amministrativi, giudiziari o di altra natura.

Art. 3 Applicazione delle limitazioni

1. Qualsiasi limitazione dei diritti e obblighi ai sensi dell'articolo 2 è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà degli interessati.

2. Prima di applicare una delle limitazioni di cui all'articolo 2, il servizio competente dell'SGC effettua una verifica della relativa necessità e proporzionalità. Le limitazioni sono circoscritte a quanto strettamente necessario per conseguire il loro obiettivo.

3. Il servizio competente dell'SGC registra i motivi di qualsiasi limitazione applicata a norma della presente decisione, compresa la verifica di cui al paragrafo 2 del presente articolo e i motivi di cui all'articolo 25, paragrafo 1, del regolamento (UE) 2018/1725. La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro tenuto dal servizio competente dell'SGC. Su richiesta, questi sono messi a disposizione del Garante europeo della protezione dei dati (GEPD).

Art. 4 Durata e garanzie

1. Le limitazioni di cui all'articolo 2 continuano ad applicarsi finché sussistono i motivi che le giustificano.

2. Il servizio competente dell'SGC riesamina l'applicazione delle limitazioni di cui all'articolo 2 almeno ogni 12 mesi, o prima se i motivi che le giustificano cessano di sussistere.

3. Le limitazioni sono revocate non appena i motivi che le giustificano cessano di sussistere.

4. Qualora i motivi di una limitazione di cui all'articolo 2 non siano più applicabili, l'SGC revoca la limitazione e spiega i motivi della limitazione all'interessato. Nel contempo, l'SGC informa l'interessato della possibilità di proporre reclamo al GEPD.

5. L'SGC attua garanzie per prevenire abusi o l'accesso o il trasferimento illeciti di dati personali che possono essere soggetti a limitazioni. Tali garanzie, che includono misure tecniche e organizzative, sono specificate, ove necessario, nelle decisioni, procedure e norme di attuazione interne dell'SGC. Le garanzie prevedono quanto segue:

  1. a) una definizione adeguata dei ruoli, delle responsabilità e delle fasi procedurali;

  2. b) se del caso, un ambiente elettronico sicuro che impedisca l'accesso o il trasferimento illecito o accidentale di dati elettronici a persone non autorizzate;

  3. c) se del caso, la conservazione e il trattamento dei documenti cartacei in condizioni di sicurezza; nonché

  4. d) il debito monitoraggio delle limitazioni e un riesame periodico della loro applicazione.

Art. 5 Coinvolgimento del responsabile della protezione dei dati

1. Qualora il servizio competente dell'SGC concluda che i diritti dell'interessato debbano essere limitati a norma della presente decisione, ne informa il responsabile della protezione dei dati. Fornisce inoltre al responsabile della protezione dei dati l'accesso al registro e a tutti i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base. Il servizio competente dell'SGC registra il coinvolgimento del responsabile della protezione dei dati nell'applicazione delle limitazioni ivi compreso nella valutazione della necessità e della proporzionalità della limitazione.

2. Il responsabile della protezione dei dati può invitare il servizio competente dell'SGC a riesaminare l'applicazione delle limitazioni. Il servizio interessato informa per iscritto il responsabile della protezione dei dati in merito all'esito del riesame richiesto.

Art. 6 Informazioni agli interessati

1. Nell'informativa sulla protezione dei dati personali e nei registri delle attività di trattamento pubblicate nel registro dei trattamenti tenuto dal responsabile della protezione dei dati l'SGC inserisce una sezione che fornisce agli interessati informazioni generali sulla possibilità di limitare i diritti degli interessati ai sensi dell'articolo 2, paragrafo 1. Le informazioni riguardano i diritti che possono essere limitati, i motivi per i quali possono essere applicate limitazioni e la loro durata potenziale.

2. I servizi competenti informano gli interessati, nella forma appropriata, delle limitazioni in corso o future dei loro diritti. Essi informano l'interessato dei principali motivi su cui si basa l'applicazione della limitazione, del suo diritto di consultare il responsabile della protezione dei dati e del suo diritto di proporre reclamo al GEPD.

3. I servizi competenti possono rinviare, omettere o negare la comunicazione di informazioni agli interessati di cui al paragrafo 2 del presente articolo, soltanto nella misura in cui tale comunicazione annullerebbe l'effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso. Le informazioni sono fornite all'interessato non appena non annullino più l'effetto della limitazione.

4. Qualora limiti in tutto o in parte la comunicazione agli interessati delle informazioni di cui al paragrafo 2 del presente articolo, il servizio competente dell'SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all'articolo 3.

Art. 7 Comunicazione di una violazione dei dati personali all'interessato

1. Qualora sia tenuto a comunicare una violazione dei dati a norma dell'articolo 35, paragrafo 1, del regolamento (UE) 2018/1725, l'SGC può, in circostanze eccezionali, limitare in tutto o in parte tale comunicazione. Esso documenta tale decisione come previsto all'articolo 3, paragrafo 3, della presente decisione.

2. Qualora i motivi della limitazione non siano più applicabili, l'SGC comunica la violazione dei dati personali all'interessato e lo informa dei principali motivi della limitazione e del suo diritto di proporre reclamo al GEPD.

Art. 8 Riservatezza delle comunicazioni elettroniche

1. In circostanze eccezionali, l'SGC può limitare il diritto alla riservatezza delle comunicazioni elettroniche a norma dell'articolo 36 del regolamento (UE) 2018/1725.

2. Qualora limiti il diritto alla riservatezza delle comunicazioni elettroniche, l'SGC informa l'interessato, nella sua risposta a qualsiasi richiesta di quest'ultimo, dei principali motivi su cui si basa l'applicazione della limitazione e del suo diritto di proporre reclamo al GEPD.

3. L'SGC può rinviare, omettere o negare la comunicazione di informazioni relative ai motivi di una limitazione e al diritto di proporre reclamo al GEPD fintantoché sussiste il rischio di compromettere l'effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso.

Art. 9 Rischi per i diritti e le libertà degli interessati

1. Qualsiasi limitazione rispetta l'essenza dei diritti e delle libertà fondamentali ed è necessaria e proporzionata in una società democratica.

2. Ogniqualvolta il servizio competente dell'SGC incaricato dell'elaborazione o del riesame delle misure restrittive valuta la necessità e la proporzionalità di una limitazione, esso prende in considerazione i potenziali rischi per i diritti e le libertà dell'interessato.

3. Nessuna limitazione può avere l'effetto di impedire alle persone interessate da misure restrittive di esercitare i loro diritti di difesa e, in particolare, il loro diritto di essere ascoltati nel contesto del riesame delle misure restrittive.

Art. 10 Entrata in vigore

La presente decisione entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Fatto a Bruxelles, il 30 gennaio 2026 Il segretario generale Thérèse Blanchet

Fonti e licenze