diritto.io

Decisione (UE) 2026/1446 della Commissione del 30 giugno 2026 che stabilisce norme interne relative alla comunicazione di informazioni agli interessati e alla limitazione di determinati diritti degli interessati in relazione al trattamento dei dati personali da parte della Commissione a fini di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE1, in particolare l’articolo 25,

La Commissione svolge indagini ai fini dell’esecuzione delle norme stabilite nel regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio2 in riferimento alle imprese o associazioni di imprese. A tal fine essa esercita poteri di indagine, esecuzione e monitoraggio conferitile da detto regolamento.

I compiti della Commissione a norma del regolamento (UE) 2022/1925 sono svolti dalla direzione generale della Concorrenza e dalla direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie.

Nell’esercizio dei suoi compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/1925, la Commissione tratta informazioni. Queste possono includere dati personali di persone fisiche quali rappresentanti legali o membri del personale dei gatekeeper e di terzi interessati, testimoni, persone segnalanti, nonché persone fisiche i cui dati personali sono contenuti in documenti ottenuti in relazione ai compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/1925.

Il trattamento di dati personali ai sensi dell’articolo 3, punto 3, del regolamento (UE) 2018/1725, effettuato nel corso delle attività di indagine ed esecuzione a norma del regolamento (UE) 2022/1925, potrebbe aver luogo anche prima che la Commissione avvii formalmente un procedimento a norma dell’articolo 20 del regolamento (UE) 2022/1925, potrebbe continuare per tutto lo svolgimento dell’indagine e potrebbe proseguire anche dopo la chiusura formale dell’indagine, ad esempio per attività di sorveglianza regolamentare o di controllo al fine di valutare la necessità di avviare nuove attività d’indagine o procedimenti giudiziari.

Ai fini dell’indagine, dell’esecuzione e del monitoraggio a norma del regolamento (UE) 2022/1925, la Commissione, in qualità di titolare del trattamento, tratta diverse categorie di dati personali, quali dati identificativi, dati di contatto, dati relativi al coinvolgimento nel caso (quali la posizione e la funzione della persona fisica nell’impresa interessata), dati relativi al caso (quali i dati personali contenuti in documenti, dichiarazioni, pareri e registri) e qualsiasi altra informazione ritenuta necessaria a tal fine (compresi i dati personali degli utenti finali e degli utenti commerciali dei servizi di piattaforma di base). Per quanto improbabile, le categorie di dati personali trattati potrebbero includere anche le categorie particolari di dati personali di cui all’articolo 10, paragrafo 1, del regolamento (UE) 2018/1725.

Nello svolgimento dei suoi compiti a norma del regolamento (UE) 2022/1925 la Commissione è tenuta a rispettare i diritti delle persone fisiche in relazione al trattamento dei dati di carattere personale riconosciuti dall’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea, nonché i requisiti previsti dal regolamento (UE) 2018/1725. Allo stesso tempo, nel contesto delle sue attività a norma del regolamento (UE) 2022/1925 la Commissione è tenuta a rispettare le norme rigorose in materia di riservatezza e segreto professionale di cui all’articolo 36 di tale regolamento e all’articolo 339 del trattato sul funzionamento dell’Unione europea.

In determinate circostanze è necessario conciliare i diritti degli interessati a norma del regolamento (UE) 2018/1725 con l’esercizio efficace dei compiti di indagine, esecuzione e monitoraggio della Commissione a norma del regolamento (UE) 2022/1925, anche in cooperazione con le autorità competenti degli Stati membri, o con i diritti e le libertà fondamentali degli altri interessati. A tal fine l’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre alla Commissione la possibilità di limitare, a rigide condizioni, l’applicazione degli articoli da 14 a 22, 35 e 36 del medesimo regolamento, nonché dell’articolo 4 dello stesso regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22 di detto regolamento.

In determinate circostanze è necessario conciliare i diritti degli interessati con la necessità di salvaguardare le attività di indagine, esecuzione e monitoraggio che la Commissione svolge a norma del regolamento (UE) 2022/1925 esercitando pubblici poteri nell’interesse pubblico dell’Unione ai sensi dell’articolo 25, paragrafo 1, lettera g), in combinato disposto con la lettera c), del regolamento (UE) 2018/1725. La Commissione potrebbe applicare limitazioni qualora, ad esempio, l’esercizio di tali diritti comprometta un’indagine in corso, ad esempio qualora vi sia il rischio di distruzione di prove o di interferenza con soggetti chiave (ad esempio testimoni) nel corso di un’indagine.

In determinate circostanze, nell’esercizio dei compiti di indagine, esecuzione e monitoraggio della Commissione a norma del regolamento (UE) 2022/1925, è necessario trovare un equilibrio tra i diritti degli interessati e i diritti e le libertà fondamentali di altre persone interessate, quali terzi interessati e vittime. In tal caso la Commissione potrebbe decidere di limitare l’accesso all’identità, alle dichiarazioni e ad altri dati personali di dette persone quando i dati personali in gioco riguardano anche un’altra persona, al fine di tutelarne i diritti e le libertà in conformità dell’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725. La Commissione potrebbe decidere di agire in tal senso in particolare per proteggere le persone in questione da possibili ritorsioni.

In particolare, è necessario proteggere le informazioni riservate riguardanti una persona segnalante o qualsiasi altra persona fisica che abbia comunicato informazioni alla Commissione nell’ambito dei compiti di indagine, esecuzione e monitoraggio di quest’ultima a norma del regolamento (UE) 2022/1925. In tali casi, la Commissione potrebbe trovarsi nella necessità di limitare l’accesso all’identità, alle dichiarazioni e ad altri dati personali di dette persone al fine di tutelare i diritti e le libertà di tutte le persone coinvolte a norma dell’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725. La Commissione può rivelare l’identità della persona che ha comunicato le informazioni solo se questa ne dà autorizzazione. L’identità deve essere resa nota dalla Commissione se previsto per legge o richiesto da un’autorità giudiziaria.

Se gli interessati presentano una richiesta di accesso ai propri dati personali, l’accesso dovrebbe essere consentito ed esteso anche ai dati trasmessi dalla persona che ha comunicato le informazioni. Per tutelare la riservatezza della persona che ha comunicato le informazioni, la Commissione non dovrebbe fornire all’interessato né il nome né alcun altro dato che ne consentirebbe l’identificazione diretta o indiretta.

Inoltre, nello svolgimento dei suoi compiti volti a garantire l’applicazione efficace del regolamento (UE) 2022/1925, in particolare nel quadro della cooperazione tra la Commissione e le autorità competenti degli Stati membri, la Commissione potrebbe limitare l’applicazione dei diritti degli interessati per salvaguardare l’esercizio di pubblici poteri nell’interesse pubblico ai sensi dell’articolo 25, paragrafo 1, lettera g), in combinato disposto con la lettera c), del regolamento (UE) 2018/1725. La Commissione potrebbe agire in tal senso in una situazione in cui la finalità di una limitazione imposta dall’autorità di uno Stato membro sarebbe compromessa se la Commissione non applicasse una limitazione equivalente per gli stessi dati personali. Nell’applicare tale limitazione la Commissione dovrebbe consultare lo Stato membro interessato in merito ai potenziali motivi per l’imposizione di limitazioni e alla necessità e proporzionalità di tali limitazioni, a meno che ciò non comprometta le attività della Commissione.

La Commissione dovrebbe applicare le limitazioni solo se queste rispettano l’essenza dei diritti e delle libertà fondamentali, sono strettamente necessarie e costituiscono una misura proporzionata in una società democratica. La Commissione dovrebbe fornire una giustificazione per le limitazioni applicabili.

L’articolo 25, paragrafo 6, del regolamento (UE) 2018/1725 prevede che il titolare del trattamento informi gli interessati dei principali motivi su cui si basa la limitazione e del loro diritto di proporre reclamo al Garante europeo della protezione dei dati.

A norma dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, la Commissione può rinviare, omettere o negare la comunicazione all’interessato delle informazioni sui principali motivi per l’applicazione di una limitazione qualora la comunicazione di tali informazioni annulli in qualsiasi modo l’effetto della limitazione. La Commissione dovrebbe valutare caso per caso se la comunicazione della limitazione ne annulli l’effetto.

La Commissione dovrebbe revocare la limitazione non appena le condizioni che la giustificano non siano più validi, e dovrebbe valutare periodicamente tali condizioni.

Al fine di ottemperare agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725 la Commissione dovrebbe informare, in modo trasparente e coerente, tutti gli interessati riguardo alle sue attività che comportano il trattamento dei loro dati personali e ai loro diritti mediante un avviso sulla protezione dei dati pubblicato sul proprio sito web. La Commissione dovrebbe informare individualmente, con mezzi appropriati, i rappresentanti legali e i membri del personale dei gatekeeper, i rappresentanti legali e i membri del personale di terzi interessati, i testimoni e le persone segnalanti del trattamento dei loro dati personali.

L’articolo 16, paragrafo 5, del regolamento (UE) 2018/1725 prevede eccezioni al diritto di informazione degli interessati se i dati personali non sono stati ottenuti presso di essi. Qualora tali eccezioni trovino applicazione, la Commissione non è tenuta ad applicare una limitazione al diritto di informazione ai sensi della presente decisione. Le eccezioni di cui all’articolo 16, paragrafo 5, lettera b), del regolamento (UE) 2018/1725 sono applicabili nei casi in cui la comunicazione delle informazioni di cui all’articolo 16, paragrafi da 1 a 4, del medesimo regolamento, risulterebbe impossibile o implicherebbe uno sforzo sproporzionato, o rischierebbe di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. Nel caso di interessati non rilevanti per l’indagine, i cui dati personali siano contenuti in documenti ottenuti nell’ambito dell’indagine, dell’esecuzione e del monitoraggio a norma del regolamento (UE) 2022/1925, diversi dagli interessati informati individualmente, la comunicazione di tali informazioni potrebbe risultare impossibile o implicare uno sforzo sproporzionato. Questo può verificarsi quando la Commissione ottiene dati personali nel contesto della segnalazione di una persona segnalante o nel corso delle sue azioni di monitoraggio volte a garantire l’attuazione efficace e il rispetto del regolamento (UE) 2022/1925.

Conformemente ai principi di trasparenza, correttezza e responsabilizzazione, la Commissione dovrebbe applicare tutte le eccezioni e le limitazioni in modo trasparente e tenere annotazioni dell’applicazione di tali eccezioni e limitazioni.

Per garantire la protezione dei diritti e delle libertà degli interessati e in conformità dell’articolo 44, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione dovrebbe coinvolgere i coordinatori per la protezione dei dati della direzione generale della Concorrenza e della direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie durante l’intero processo di applicazione delle limitazioni e documentare tale consultazione. In particolare, i coordinatori per la protezione dei dati dovrebbero essere consultati a tempo debito in merito a eventuali limitazioni che possono essere applicate e dovrebbero verificarne la conformità alla presente decisione.

Il responsabile della protezione dei dati della Commissione dovrebbe effettuare un riesame indipendente dell’applicazione delle limitazioni al fine di garantire la conformità alla presente decisione.

Conformemente all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725 il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 26 marzo 2026,

HA ADOTTATO LA PRESENTE DECISIONE:

Art. 1 Oggetto

1. La presente decisione stabilisce le norme interne che la Commissione è tenuta a seguire per informare gli interessati in merito al trattamento dei loro dati personali in conformità degli articoli 14, 15 e 16 del regolamento (UE) 2018/1725 nello svolgimento dei propri compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/1925.

2. La presente decisione stabilisce inoltre le condizioni alle quali la Commissione può limitare l’applicazione degli articoli 4, da 14 a 20 e 35 del regolamento (UE) 2018/1725, conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), del medesimo regolamento.

Art. 2 Ambito di applicazione

1. La presente decisione si applica al trattamento, da parte della Commissione, dei dati personali delle seguenti categorie di interessati:

  1. a) rappresentanti legali e membri del personale dei gatekeeper, di cui all’articolo 2, punto 1, del regolamento (UE) 2022/1925;

  2. b) rappresentanti legali e membri del personale di terzi interessati;

  3. c) testimoni;

  4. d) persone segnalanti;

  5. e) persone fisiche i cui dati personali sono contenuti nei documenti o in altri supporti ottenuti nell’ambito dei compiti di indagine, di esecuzione e di monitoraggio a norma del regolamento (UE) 2022/1925.

2. La presente decisione si applica al trattamento dei dati personali appartenenti alle seguenti categorie:

  1. a) dati identificativi;

  2. b) dati di contatto;

  3. c) dati relativi al coinvolgimento nel caso;

  4. d) dati relativi al caso;

  5. e) qualsiasi altra informazione ritenuta necessaria per soddisfare i requisiti del regolamento (UE) 2022/1925, compresi i dati personali di cui all’articolo 10, paragrafo 1, del regolamento (UE) 2018/1725.

Art. 3 Comunicazione di informazioni agli interessati

1. La Commissione pubblica sul suo apposito sito web un avviso sulla protezione dei dati per informare tutti gli interessati riguardo alle sue attività che comportano il trattamento dei loro dati personali ai fini dei compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/1925.

2. L’avviso sulla protezione dei dati fornisce informazioni sulle potenziali limitazioni dei diritti degli interessati di cui all’articolo 4. Queste informazioni specificano quali diritti possono essere limitati, i motivi per cui possono essere applicate limitazioni e la potenziale durata di tali limitazioni e contengono informazioni sul diritto degli interessati di proporre reclamo al Garante europeo della protezione dei dati.

3. La Commissione informa individualmente, con mezzi appropriati, le persone segnalanti, i testimoni e i rappresentanti legali e i membri del personale dei gatekeeper e di terzi interessati del trattamento dei loro dati personali.

Art. 4 Limitazioni

1. La Commissione può limitare l’applicazione degli articoli da 14 a 20 e 35 del regolamento (UE) 2018/1725, così come l’applicazione dei principi di liceità, correttezza e trasparenza di cui all’articolo 4, paragrafo 1, lettera a), del medesimo regolamento nella misura in cui le disposizioni relative alle limitazioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20 del regolamento (UE) 2018/1725 nei casi in cui:

  1. a) l’esercizio dei suddetti diritti e obblighi comprometterebbe i compiti di indagine, esecuzione e monitoraggio della Commissione finalizzati a garantire l’applicazione efficace del regolamento (UE) 2022/1925, conformemente all’articolo 25, paragrafo 1, lettere c) e g), del regolamento (UE) 2018/1725;

  2. b) l’esercizio dei suddetti diritti e obblighi arrecherebbe pregiudizio alla tutela dell’interessato o ai diritti e alle libertà altrui, conformemente all’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725;

  3. c) l’esercizio dei suddetti diritti e obblighi potrebbe compromettere la cooperazione della Commissione con le autorità competenti degli Stati membri nell’esercizio dei suoi compiti volti a garantire l’applicazione efficace del regolamento (UE) 2022/1925, conformemente all’articolo 25, paragrafo 1, lettere c) e g), del regolamento (UE) 2018/1725.

2. Prima di applicare limitazioni nelle circostanze di cui al paragrafo 1, lettera c), la Commissione consulta le autorità competenti degli Stati membri pertinenti in merito ai potenziali motivi per l’imposizione di limitazioni e alla necessità e proporzionalità di tali limitazioni, a meno che tale consultazione non comprometta le attività della Commissione.

3. Le eventuali limitazioni rispettano l’essenza dei diritti e delle libertà fondamentali e rappresentano una misura necessaria e proporzionata in una società democratica.

4. Prima di applicare le limitazioni di cui al paragrafo 1, la Commissione effettua e documenta una valutazione caso per caso della loro necessità e proporzionalità. Le suddette limitazioni sono circoscritte a quanto strettamente necessario per conseguire il loro obiettivo.

Art. 5 Diritto di accesso dell’interessato, diritto di rettifica, diritto alla cancellazione e diritto di limitazione del trattamento

1. Allorché la Commissione limita, a norma dell’articolo 4, in tutto o in parte, il diritto di accesso degli interessati, il diritto alla rettifica, il diritto alla cancellazione o il diritto di limitazione del trattamento, di cui rispettivamente agli articoli da 17 a 20 del regolamento (UE) 2018/1725, essa, nel rispondere alla richiesta di accesso, rettifica, cancellazione o limitazione del trattamento, informa l’interessato circa gli aspetti seguenti:

  1. a) la limitazione applicata e i principali motivi della stessa;

  2. b) la possibilità di proporre reclamo al Garante europeo della protezione dei dati.

2. La Commissione può rinviare, omettere o negare la comunicazione delle informazioni circa i motivi di una limitazione e circa il diritto di proporre reclamo al Garante europeo della protezione dei dati solo fintantoché tale comunicazione annullerebbe l’effetto della limitazione. La Commissione valuta caso per caso se ciò sia giustificato. Non appena l’effetto della limitazione non possa più essere annullato da tale comunicazione, la Commissione trasmette le informazioni all’interessato.

Art. 6 Comunicazione di violazioni dei dati personali agli interessati

1. Quando ha l’obbligo di comunicare una violazione dei dati personali a norma dell’articolo 35, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione può, in circostanze eccezionali, limitare in tutto o in parte tale comunicazione, conformemente all’articolo 4 della presente decisione. La Commissione annota e registra i motivi della limitazione, il fondamento giuridico della stessa conformemente all’articolo 4 e una valutazione della sua necessità e proporzionalità.

2. Qualora i motivi della limitazione non siano più validi, la Commissione comunica la violazione dei dati personali agli interessati e li informa in merito ai principali motivi della limitazione e al loro diritto di proporre reclamo al Garante europeo della protezione dei dati.

3. Qualora notifichi la violazione dei dati personali al Garante europeo della protezione dei dati a norma dell’articolo 34, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione allega alla notifica la registrazione effettuata a norma dell’articolo 7 della presente decisione.

Art. 7 Annotazione e registrazione delle limitazioni

1. La Commissione annota i motivi di qualsiasi limitazione applicata a norma della presente decisione, il fondamento giuridico previsto all’articolo 4, i dettagli relativi al periodo di applicazione di tale limitazione, una valutazione dei rischi per i diritti e le libertà degli interessati derivanti dall’imposizione di una limitazione e una valutazione della necessità e proporzionalità della limitazione stessa.

2. L’annotazione indica in che modo l’esercizio del diritto da parte dell’interessato comprometterebbe uno o più degli obiettivi applicabili di cui all’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento (UE) 2018/1725.

3. Tale annotazione e, se del caso, la documentazione contenente gli elementi di fatto e di diritto che ne costituiscono la base sono registrate. Su richiesta, sono messe a disposizione del Garante europeo della protezione dei dati.

Art. 8 Durata delle limitazioni

1. Le limitazioni di cui all’articolo 4 continuano ad applicarsi finché i motivi che le giustificano restano applicabili.

2. Qualora i motivi di una limitazione non siano più validi, la Commissione revoca la limitazione.

3. Se una limitazione è revocata, la Commissione comunica anche all’interessato i motivi dell’applicazione della limitazione e lo informa in merito alla possibilità di proporre reclamo al Garante europeo della protezione dei dati o di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

4. La Commissione riesamina l’applicazione delle limitazioni di cui all’articolo 4 ogni sei mesi. Il riesame comprende una valutazione della necessità e proporzionalità della limitazione.

Art. 9 Garanzie e periodi di conservazione

1. La Commissione mette in atto garanzie per prevenire gli abusi e l’accesso o il trasferimento illeciti di dati personali che sono o potrebbero essere soggetti a limitazioni. Tali garanzie includono misure tecniche e organizzative quali:

  1. a) una chiara definizione dei ruoli, delle responsabilità, delle fasi procedurali e dei diritti di accesso;

  2. b) un ambiente elettronico sicuro che impedisca l’accesso o il trasferimento illecito o accidentale di dati elettronici a persone non autorizzate;

  3. c) la conservazione e il trattamento sicuri dei documenti cartacei limitatamente a quanto strettamente necessario per conseguire la finalità del trattamento;

  4. d) il debito monitoraggio delle limitazioni.

2. I dati personali sono conservati conformemente alle pertinenti norme di conservazione della Commissione, da definire nei registri delle attività di trattamento tenuti a norma dell’articolo 31 del regolamento (UE) 2018/1725. Al termine del periodo di conservazione, i dati personali sono cancellati, resi anonimi o trasferiti agli archivi a norma dell’articolo 13 del regolamento (UE) 2018/1725.

Art. 10 Coinvolgimento dei coordinatori per la protezione dei dati e del responsabile della protezione dei dati della Commissione

1. I coordinatori per la protezione dei dati della direzione generale della Concorrenza e della direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie sono consultati prima dell’applicazione di eventuali limitazioni.

2. I coordinatori per la protezione dei dati della direzione generale della Concorrenza e della direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie verificano la conformità delle limitazioni alla presente decisione.

3. Il responsabile della protezione dei dati della Commissione è informato senza indebito ritardo ogniqualvolta i diritti degli interessati siano limitati in conformità della presente decisione. Su richiesta, al responsabile della protezione dei dati della Commissione è garantito l’accesso all’annotazione e a tutti i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base.

4. Il responsabile della protezione dei dati della Commissione può chiedere un riesame dell’applicazione di una limitazione ed è informato per iscritto circa l’esito di tale riesame.

5. La Commissione documenta e registra il coinvolgimento del proprio responsabile della protezione dei dati e dei coordinatori per la protezione dei dati, indicando quali informazioni siano condivise con loro, in ciascun caso si applichi una limitazione ai sensi dell’articolo 4, paragrafo 1.

Art. 11 Entrata in vigore

La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Bruxelles, il 30 giugno 2026 Per la Commissione La presidente Ursula von der Leyen

Fonti e licenze