Decisione (UE) 2026/1942 della Banca centrale europea del 30 luglio 2026 sul trattamento dei dati personali nel contesto della vigilanza prudenziale degli enti creditizi (BCE/2026/18)

1. La presente decisione disciplina la ripartizione dei rispettivi ruoli e delle rispettive responsabilità tra i contitolari del trattamento, che sono la BCE e le ANC per quanto riguarda il rispetto del regolamento (UE) 2018/1725, in relazione alla BCE, e del regolamento (UE) 2016/679, in relazione alle ANC, in occasione del trattamento dei dati personali nell’assolvimento dei compiti di vigilanza elencati nel paragrafo 2.

2.

3. La presente decisione non si applica al trattamento di dati personali in relazione alle segnalazioni di violazioni della normativa nazionale o dell’Unione per quanto riguarda la vigilanza prudenziale degli enti credizi presentate attraverso il meccanismo di segnalazione delle violazioni della BCE o di un’ANC, né si applica nel caso in cui le ANC trattino dati personali in conformità a una base giuridica diversa dal regolamento (UE) n. 1024/2013.

4. La presente decisione lascia impregiudicati gli altri atti giuridici dell’Unione che disciplinano la trasmissione delle informazioni di vigilanza in possesso della BCE alle istituzioni e agli organi dell’Unione, nonché agli organi giurisdizionali e alle autorità nazionali e internazionali.

1) per «trattamento» si intende il trattamento ai sensi dell’articolo 3, punto 3), del regolamento (UE) 2018/1725 o dell’articolo 4, punto 2), del regolamento (UE) 2016/679;

2) per «dati personali» si intendono i dati personali ai sensi dell’articolo 3, punto 1), del regolamento (UE) n. 2018/1725 o dell’articolo 4, punto 1), del regolamento (UE) 2016/679;

3) per «autorità nazionale competente» («ANC») si intende un’autorità nazionale competente ai sensi dell’articolo 2, punto 9), del regolamento (UE) n. 468/2014 (BCE/2014/17);

4) per «compito di vigilanza» si intende un compito conferito alla BCE ai sensi dell’articolo 4, paragrafi 1 e 2, e assolto nel quadro dell’articolo 6 del regolamento (UE) n. 1024/2013;

5) per «titolare del trattamento» si intende un titolare del trattamento ai sensi dell’articolo 3, punto 8), del regolamento (UE) 2018/1725 o dell’articolo 4, punto 7), del regolamento (UE) 2016/679;

6) per «contitolare del trattamento» si intende un contitolare del trattamento ai sensi dell’articolo 28, paragrafo 1, del regolamento (UE) 2018/1725 o dell’articolo 26, paragrafo 1, del regolamento (UE) 2016/679;

7) per «responsabile del trattamento» si intende un responsabile del trattamento ai sensi dell’articolo 3, punto 12), del regolamento (UE) 2018/1725 o dell’articolo 4, punto 8), del regolamento (UE) 2016/679;

8) per «istituzioni e organi dell’Unione» si intendono le istituzioni e gli organi dell’Unione ai sensi dell’articolo 3, punto 10), del regolamento (UE) 2018/1725;

9) per «informativa sulla protezione dei dati» si intende un documento mediante il quale agli interessati sono fornite informazioni a norma degli articoli 15 o 16 del regolamento (UE) 2018/1725 o degli articoli 13 o 14 del regolamento (UE) 2016/679;

10) per «richiesta di un interessato» si intende una richiesta formulata da parte di un interessato a uno o più dei contitolari, nel caso in cui l’interessato eserciti uno dei suoi diritti ai sensi del capo III del regolamento (UE) 2018/1725 o del capo III del regolamento (UE) 2016/679;

11) per «violazione dei dati personali» si intende una violazione dei dati personali ai sensi dell’articolo 3, punto 16), del regolamento (UE) 2018/1725 o dell’articolo 4, punto 12), del regolamento (UE) 2016/679;

12) per «autorità di controllo» si intende un’autorità di controllo nazionale ai sensi dell’articolo 3, punto 22), del regolamento (UE) 2018/1725 o un’autorità di controllo ai sensi dell’articolo 4, punto 21), del regolamento (UE) 2016/679, o il Garante europeo della protezione dei dati;

13) per «Stato membro d’origine» si intende lo Stato membro nel quale un ente creditizio ha ricevuto l’autorizzazione;

14) per «Stato membro ospitante» si intende lo Stato membro nel quale un ente creditizio ha una succursale o presta servizi;

1. Il contitolare del trattamento che avvia il trattamento dei dati personali, che comprende la raccolta di dati personali, comunica all’interessato le informazioni richieste ai sensi rispettivamente degli articoli 15 e 16 del regolamento (UE) 2018/1725 o degli articoli 13 e 14 del regolamento (UE) 2016/679, nonché dell’articolo 28, paragrafo 2, secondo periodo, del regolamento (UE) 2018/1725 o dell’articolo 26, paragrafo 2, secondo periodo, del regolamento (UE) 2016/679. Tale contitolare del trattamento è:

1. a) per i dati personali trasmessi tramite il portale del sistema di gestione delle informazioni (Information Management System, IMAS), la BCE;

2. b) per i dati personali ricevuti in tutti gli altri casi:

   1. i) per le procedure di verifica dei requisiti di idoneità riguardanti soggetti vigilati significativi, l’ANC competente ai sensi degli articoli 93 e 94 del regolamento (UE) n. 468/2014 (BCE/2014/17);

   2. ii) per le procedure di autorizzazione:

      1. 1) in caso di concessione di autorizzazioni, l’ANC che riceve l’istanza di autorizzazione all’esercizio dell’attività bancaria ai sensi dell’articolo 14, paragrafo 1, del regolamento (UE) n. 1024/2013;

      2. 2) in caso di partecipazioni qualificate, l’ANC che riceve la notifica o eventuali informazioni connesse ai sensi dell’articolo 15, paragrafo 1, del regolamento (UE) n. 1024/2013;

      3. 3) in caso di procedure avviate da un’ANC per la revoca dell’autorizzazione all’accesso all’attività di ente creditizio, compresa la revoca su richiesta dell’ente creditizio, ai sensi dell’articolo 80 del regolamento (UE) n. 468/2014 (BCE/2014/17), l’ANC competente;

      4. 4) in caso di procedure avviate dalla BCE per la revoca dell’autorizzazione all’accesso all’attività di ente creditizio, la BCE;

      5. 5) in caso di stabilimento di una succursale da parte di un soggetto vigilato significativo, l’ANC dello Stato membro d’origine ai sensi dell’articolo 11 del regolamento (UE) n. 468/2014 (BCE/2014/17);

      6. 6) in caso di notifica di una modifica della fornitura di servizi da parte di un soggetto vigilato significativo o di un soggetto vigilato meno significativo; di notifica di una modifica delle informazioni dettagliate di una succursale da parte di un soggetto vigilato significativo o di un soggetto vigilato meno significativo; oppure dello stabilimento di una succursale da parte di un soggetto vigilato meno significativo, l’ANC dello Stato membro d’origine;

      7. 7) in caso di stabilimento di una succursale in uno Stato membro partecipante da parte di un ente creditizio stabilito in uno Stato membro non partecipante, l’ANC dello Stato membro ospitante;

      8. 8) in caso di prestazione di servizi al di fuori degli Stati membri partecipanti da parte di un soggetto vigilato significativo o da parte di un soggetto vigilato meno significativo, l’ANC dello Stato membro d’origine;

      9. 9) in caso di prestazione di servizi in uno Stato membro partecipante da parte di un ente creditizio stabilito in uno Stato membro non partecipante, l’ANC dello Stato membro ospitante;

      10. 10) in caso di approvazione o esenzione dall’approvazione di società di partecipazione finanziaria (mista) comprendenti soggetti o gruppi vigilati significativi, la BCE;

      11. 11) in caso di approvazione o esenzione dall’approvazione di società di partecipazione finanziaria (mista) comprendenti soggetti vigilati meno significativi o gruppi vigilati meno significativi, l’ANC che riceve l’istanza in conformità all’articolo 21 bis della direttiva 2013/36/UE del Parlamento europeo e del Consiglio⁵;

      12. 12) nel caso di fusioni effettuate da enti e da società di partecipazione finanziaria (mista), laddove i soggetti risultanti da tale operazione proposta siano soggetti vigilati significativi, la BCE;

      13. 13) in caso di fusioni effettuate da enti e da società di partecipazione finanziaria (mista) laddove i soggetti risultanti da tale operazione proposta siano soggetti vigilati meno significativi, l’ANC che riceve la notifica ai sensi dell’articolo 27 decies, paragrafo 1, primo comma, della direttiva 2013/36/UE;

      14. 14) nel caso di scissioni effettuate da enti e da società di partecipazione finanziaria (mista) che sono soggetti vigilati significativi, la BCE;

      15. 15) in caso di scissioni effettuate da enti e da società di partecipazione finanziaria (mista) che sono soggetti vigilati meno significativi, l’ANC che riceve la notifica ai sensi dell’articolo 27 decies, paragrafo 1, secondo comma, della direttiva 2013/36/UE;

   3. iii) per la vigilanza corrente di soggetti vigilati significativi, la BCE;

   4. iv) per quanto riguarda le misure amministrative e le sanzioni, la BCE;

   5. v) per le ispezioni in loco di soggetti vigilati significativi, la BCE;

   6. vi) per la sorveglianza della vigilanza di soggetti vigilati meno significativi, la BCE;

   7. vii) per la vigilanza di soggetti vigilati meno significativi:

      1. 1) l’ANC dello Stato membro d’origine; oppure

      2. 2) laddove la BCE eserciti direttamente tutti i pertinenti poteri per i soggetti vigilati meno significativi ai sensi dell’articolo 6, paragrafo 5, lettera b), del regolamento (UE) n. 1024/2013, la BCE.

2. Ciascun contitolare del trattamento pubblica un’informativa sulla protezione dei dati sul proprio sito Internet, oltre ad adempiere all’obbligo di cui al paragrafo 1.

3. I contitolari del trattamento coordinano e concordano il contenuto coerente, se non identico, delle informazioni da comunicare all’interessato ai sensi, rispettivamente, dell’articolo 28, paragrafo 2, secondo periodo, del regolamento (UE) 2018/1725 e dell’articolo 26, paragrafo 2, secondo periodo, del regolamento (UE) 2016/679.

1. Gli interessati possono esercitare i propri diritti a norma del regolamento (UE) 2018/1725 oppure del regolamento (UE) 2016/679, a seconda dei casi, nei confronti di e contro ciascuno dei contitolari del trattamento. Ciascun contitolare del trattamento pubblica il proprio punto di contatto e il punto di contatto di ciascuno degli altri contitolari del trattamento nella propria informativa sulla protezione dei dati sul proprio sito Internet.

2. Il contitolare del trattamento responsabile della gestione della richiesta dell’interessato è:

1. a) per le procedure di verifica dei requisiti di idoneità per soggetti vigilati significativi, l’ANC competente ai sensi degli articoli 93 e 94 del regolamento (UE) n. 468/2014 (BCE/2014/17) fino a quando la valutazione nella procedura di verifica dei requisiti di idoneità è assegnata alla BCE e, successivamente, la BCE;

2. b) per le procedure di autorizzazione:

   1. i) in caso di concessione di autorizzazioni, l’ANC che riceve l’istanza di autorizzazione all’esercizio dell’attività bancaria ai sensi dell’articolo 14, paragrafo 1, del regolamento (UE) n. 1024/2013 fino a quando il progetto di decisione predisposto dall’ANC è notificato alla BCE e, successivamente, la BCE;

   2. ii) in caso di partecipazioni qualificate, l’ANC che riceve la notifica o eventuali informazioni connesse ai sensi dell’articolo 15, paragrafo 1, del regolamento (UE) n. 1024/2013 fino a quando il progetto di decisione dell’ANC di opporsi o meno all’acquisizione è presentato alla BCE e, successivamente, la BCE;

   3. iii) in caso di procedure avviate da un’ANC per la revoca di un’autorizzazione all’accesso all’attività di ente creditizio, compresa la revoca su richiesta dell’ente creditizio, ai sensi dell’articolo 80 del regolamento (UE) n. 468/2014 (BCE/2014/17), l’ANC competente fino a quando il progetto di decisione di revoca predisposto dall’ANC è presentato alla BCE e, successivamente, la BCE;

   4. iv) in caso di procedure avviate dalla BCE per la revoca di un’autorizzazione all’accesso all’attività di ente creditizio, la BCE;

   5. v) in caso di stabilimento di una succursale da parte di un soggetto vigilato significativo, l’ANC dello Stato membro d’origine in conformità all’articolo 11 del regolamento (UE) n. 468/2014 (BCE/2014/17) fino alla notifica dell’avvio della procedura di passaporto alla BCE e, successivamente, alla BCE;

   6. vi) in caso di notifica di una modifica della prestazione di servizi da parte di un soggetto vigilato significativo o di un soggetto vigilato meno significativo; di notifica di una modifica delle informazioni dettagliate di una succursale da parte di un soggetto vigilato significativo o di un soggetto vigilato meno significativo, oppure dello stabilimento di una succursale da parte di un soggetto vigilato meno significativo, l’ANC dello Stato membro d’origine fino alla notifica dell’avvio della procedura di passaporto alla BCE e, successivamente, la BCE;

   7. vii) in caso di stabilimento di una succursale in uno Stato membro partecipante da parte di un ente creditizio stabilito in uno Stato membro non partecipante, l’ANC dello Stato membro ospitante fino alla notifica dell’avvio della procedura di passaporto alla BCE e, successivamente, la BCE;

   8. viii) in caso di prestazione di servizi al di fuori degli Stati membri partecipanti da parte di un soggetto vigilato significativo o da parte di un soggetto vigilato meno significativo, l’ANC dello Stato membro d’origine fino alla notifica dell’avvio della procedura di passaporto alla BCE e, successivamente, la BCE;

   9. ix) in caso di prestazione di servizi in uno Stato membro partecipante da parte di un ente creditizio stabilito in uno Stato membro non partecipante, l’ANC dello Stato membro ospitante fino alla notifica dell’avvio della procedura di passaporto alla BCE e, successivamente, alla BCE;

   10. x) in caso di approvazione o esenzione dall’approvazione di società di partecipazione finanziaria (mista) comprendenti soggetti o gruppi vigilati significativi, la BCE;

   11. xi) in caso di approvazione o esenzione dall’approvazione di società di partecipazione finanziaria (mista) comprendenti soggetti o gruppi vigilati meno significativi, l’ANC che riceve l’istanza ai sensi dell’articolo 21 bis della direttiva 2013/36/UE;

   12. xii) in caso di fusioni effettuate da enti e da società di partecipazione finanziaria (mista), laddove i soggetti risultanti da tale operazione proposta siano soggetti vigilati significativi, la BCE;

   13. xiii) in caso di fusioni effettuate da enti e da società di partecipazione finanziaria (mista), laddove i soggetti risultanti da tale operazione proposta siano soggetti vigilati meno significativi, l’ANC che riceve la notifica ai sensi dell’articolo 27 decies, paragrafo 1, primo comma, della direttiva 2013/36/UE;

   14. xiv) in caso di scissioni effettuate da enti e da società di partecipazione finanziaria (mista) che sono soggetti vigilati significativi, la BCE;

   15. xv) in caso di scissioni effettuate da enti e da società di partecipazione finanziaria (mista) che sono soggetti vigilati meno significativi, l’ANC che riceve la notifica ai sensi dell’articolo 27 decies, paragrafo 1, secondo comma, della direttiva 2013/36/UE;

3. c) per la vigilanza in corso di soggetti vigilati significativi, la BCE;

4. d) per le misure amministrative e sanzioni, la BCE;

5. e) per le ispezioni in loco di soggetti vigilati significativi, la BCE;

6. f) per la sorveglianza della vigilanza di soggetti vigilati meno significativi, la BCE;

7. g) per la vigilanza di soggetti vigilati meno significativi:

   1. i) l’ANC dello Stato membro d’origine; oppure

   2. ii) laddove la BCE eserciti direttamente tutti i poteri pertinenti per i soggetti vigilati meno significativi ai sensi dell’articolo 6, paragrafo 5, lettera b), del regolamento (UE) n. 1024/2013, la BCE.

3. Un contitolare del trattamento, su richiesta del contitolare del trattamento responsabile ai sensi del paragrafo 2, fornisce un’assistenza rapida ed efficiente a quest’ultimo nel trattamento di eventuali richieste dell’interessato, conformemente alla procedura di cui al paragrafo 4.

4. Si applicano le seguenti norme alla gestione delle richieste degli interessati:

1. a) Il contitolare del trattamento che riceve la richiesta dell’interessato invia all’interessato una conferma dell’avvenuta ricezione senza indebito ritardo. Se la richiesta dell’interessato non rientra tra le proprie responsabilità come determinato ai sensi del paragrafo 2, il contitolare del trattamento che riceve la richiesta dell’interessato la trasmette al contitolare del trattamento effettivamente responsabile della gestione di tale richiesta ai sensi del paragrafo 2.

2. b) Se il contitolare del trattamento al quale è stata inoltrata la richiesta dell’interessato conferma di essere il contitolare del trattamento responsabile della gestione di tale richiesta ai sensi del paragrafo 2, il contitolare del trattamento che ha ricevuto la richiesta dell’interessato informa quest’ultimo della trasmissione della richiesta dell’interessato a tale contitolare del trattamento.

3. c) Eventuali disaccordi in merito a quale contitolare del trattamento sia responsabile ai sensi del paragrafo 2 sono risolti in una riunione tra il contitolare del trattamento che ha ricevuto la richiesta dell’interessato, il contitolare del trattamento al quale è stata trasmessa la richiesta dell’interessato ed eventuali altri contitolari del trattamento che quest’ultimo ritenga responsabili ai sensi del paragrafo 2. A seguito di tale riunione, il contitolare del trattamento che ha ricevuto la richiesta dell’interessato informa quest’ultimo della trasmissione della richiesta al contitolare del trattamento che ha confermato di essere responsabile ai sensi del paragrafo 2. Se il contitolare del trattamento che riceve la richiesta dell’interessato è il contitolare del trattamento responsabile ai sensi del paragrafo 2, ma la richiesta dell’interessato riguarda anche altri compiti di vigilanza di cui al paragrafo 2, lettere da a) a g), tale contitolare del trattamento richiede l’assistenza di un altro contitolare del trattamento o di altri contitolari del trattamento in conformità al paragrafo 3;

4. d) il contitolare del trattamento responsabile ai sensi del paragrafo 2 invia la risposta definitiva all’interessato, dopo aver integrato i contributi forniti da eventuali altri contitolari del trattamento ai sensi della lettera c), se del caso.

1. Un contitolare del trattamento che viene a conoscenza di una violazione dei dati personali notifica la violazione a tutti gli altri contitolari del trattamento senza indebito ritardo e al più tardi entro 24 ore dal momento in cui è venuto a conoscenza della violazione dei dati personali.

2. Il contitolare del trattamento che ha causato la violazione dei dati personali o cui è attribuibile la violazione dei dati personali, comprese le violazioni causate dai relativi responsabili del trattamento o sub-responsabili del trattamento, o attribuibili a essi, è responsabile della gestione di una violazione dei dati personali in conformità, rispettivamente, al regolamento (UE) 2018/1725 o al regolamento (UE) 2016/679. Se non è possibile stabilire quale contitolare del trattamento è responsabile entro 24 ore dal momento in cui un contitolare del trattamento viene a conoscenza della violazione dei dati personali, la BCE è responsabile della gestione della violazione dei dati personali

3. Il contitolare del trattamento responsabile ai sensi del paragrafo 2, in particolare, notifica all’autorità di vigilanza competente e informa l’interessato della violazione dei dati personali, se del caso. La BCE notifica altresì la violazione dei dati personali anche al Garante europeo della protezione dei dati, a meno che la violazione dei dati personali non possa comportare un rischio per i diritti e le libertà delle persone fisiche, anche se non è il contitolare del trattamento responsabile.

4. Il contitolare del trattamento responsabile ai sensi del paragrafo 2 notifica senza indebito ritardo a tutti gli altri contitolari del trattamento a) le misure applicate dal contitolare del trattamento per attenuare i rischi derivanti dalla violazione dei dati personali e b) se la violazione dei dati personali sia stata o sarà notificata all’autorità di vigilanza competente e comunicata all’interessato.

1. Ai sensi, rispettivamente, dell’articolo 33 del regolamento (UE) 2018/1725 e dell’articolo 32 del regolamento (UE) 2016/679, i contitolari del trattamento attuano misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali trattati. Nella valutazione del livello di sicurezza appropriato, i contitolari del trattamento tengono conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per gli interessati.

2. Ciascun contitolare del trattamento che mantiene e amministra un sistema informatico utilizzato per il trattamento dei dati personali stabilisce e attua misure tecniche e organizzative adeguate in relazione a tale sistema, oppure garantisce che il responsabile del trattamento stabilisca e attui tali misure.

3. I contitolari del trattamento consentono l’accesso ai dati personali trattati nell’ambito della presente decisione solo alle persone fisiche che agiscono sotto la loro autorità e solo nella misura necessaria al conseguimento delle finalità del trattamento di cui agli allegati.

4. I contitolari del trattamento garantiscono che le persone autorizzate al trattamento dei dati personali si siano impegnate a rispettare la riservatezza o abbiano un adeguato obbligo legale di riservatezza.

1. I contitolari del trattamento convengono circa la necessità o meno di una valutazione d’impatto sulla protezione dei dati e su quale dei contitolari del trattamento debba predisporre un progetto di valutazione d’impatto sulla protezione dei dati.

2. Una valutazione d’impatto sulla protezione dei dati può essere considerata definitiva solo se è stata approvata da tutti i contitolari del trattamento.

3. In casi giustificati, ad esempio quando i contitolari del trattamento non sono coinvolti nelle stesse fasi di un’operazione di trattamento, i contitolari del trattamento effettuano una valutazione d’impatto sulla protezione dei dati distinta per la fase specifica dell’operazione di trattamento nella quale sono coinvolti.

4. Qualora una valutazione d’impatto sulla protezione dei dati indichi che il trattamento, in assenza di garanzie, misure di sicurezza e meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libertà delle persone fisiche e il contitolare del trattamento responsabile della predisposizione del progetto di cui al paragrafo 1 sia del parere che il rischio non possa essere attenuato con mezzi ragionevoli alla luce delle tecnologie disponibili e dei costi di attuazione, tale contitolare del trattamento consulta la propria autorità di vigilanza. In tal caso, la BCE consulta anche il Garante europeo della protezione dei dati ai sensi dell’articolo 40 del regolamento (UE) 2018/1725, anche se non è il contitolare responsabile della predisposizione del progetto di cui al paragrafo 1.

1. Fatti salvi gli obblighi cui sono soggetti i contitolari del trattamento a norma del regolamento (UE) 2018/1725, del regolamento (UE) 2016/679 o della normativa nazionale, ciascun contitolare del trattamento è responsabile di quanto segue:

1. a) determinare i periodi per i quali i dati personali saranno conservati conformemente alla normativa applicabile in materia di protezione dei dati;

2. b) decidere di limitare l’applicazione dei diritti dell’interessato, ove necessario e proporzionato, conformemente alle norme applicabili in materia di protezione dei dati, comprese le norme interne adottate da un contitolare del trattamento o la normativa nazionale in conformità, rispettivamente, al regolamento (UE) 2018/1725 o al regolamento (UE) 2016/679, ovvero di applicare eventuali eccezioni ai sensi, rispettivamente, dell’articolo 16, paragrafo 5, del regolamento (UE) 2018/1725 o dell’articolo 14, paragrafo 5, del regolamento (UE) 2016/679;

3. c) individuare e valutare la legittimità, la necessità e la proporzionalità dei trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale e adempiere ai propri obblighi ai sensi, rispettivamente, del capo V del regolamento (UE) 2018/1725 o del capo V del regolamento (UE) 2016/679;

4. d) ricorrere esclusivamente a responsabili del trattamento che offrono sufficienti garanzie per attuare misure tecniche e organizzative adeguate, ai sensi, rispettivamente, dell’articolo 29 del regolamento (UE) 2018/1725 e dell’articolo 28 del regolamento (UE) 2016/679;

5. e) fornire agli altri contitolari del trattamento un elenco dei responsabili del trattamento incaricati da tale contitolare del trattamento di trattare i dati personali nell’assolvimento dei compiti di vigilanza di cui all’articolo 1, paragrafo 2.

2. I contitolari del trattamento si notificano a vicenda tutte le informazioni pertinenti relative al rispetto degli obblighi di cui al paragrafo 1, tenendo debitamente conto del regime di riservatezza applicabile.

1. Ciascuno dei contitolari del trattamento rispetta i principi generali di protezione dei dati di cui, rispettivamente, all’articolo 4 del regolamento (UE) 2018/1725 o all’articolo 5 del regolamento (UE) 2016/679.

2. Ciascun contitolare del trattamento mantiene registri delle attività di trattamento sotto la propria responsabilità e conserva le informazioni necessarie a dimostrare la propria conformità alla presente decisione.