Regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio dell'11 maggio 2016 che istituisce l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI
Testo vigente
Art. 28 Principi generali di protezione dei dati
Art. 29 Valutazione dell'affidabilità della fonte e dell'esattezza delle informazioni
1. L'affidabilità della fonte delle informazioni che provengono da uno Stato membro è valutata per quanto possibile dallo Stato membro che le ha fornite sulla base dei seguenti codici di valutazione della fonte:
A) non sussistono dubbi circa l'autenticità, l'affidabilità o la competenza della fonte, oppure l'informazione è fornita da una fonte che in passato ha dimostrato di essere affidabile in tutti i casi;
B) l'informazione è pervenuta da una fonte che si è dimostrata affidabile nella maggior parte dei casi;
C) l'informazione è pervenuta da una fonte che non si è dimostrata affidabile nella maggior parte dei casi;
X) l'affidabilità della fonte non può essere valutata.
2. L'esattezza delle informazioni che provengono da uno Stato membro è valutata per quanto possibile dallo Stato membro che le ha fornite sulla base dei seguenti codici di valutazione dell'informazione:
1) l'informazione è ritenuta sicura senza alcuna riserva;
2) l'informazione è conosciuta personalmente dalla fonte, ma non conosciuta personalmente dall'agente che l'ha fornita;
3) l'informazione non è conosciuta personalmente dalla fonte, ma è avvalorata da altre informazioni già registrate;
4) l'informazione non è conosciuta personalmente dalla fonte e non può essere avvalorata.
3. Se, sulla base delle informazioni già in suo possesso, Europol giunge alla conclusione che la valutazione di cui al paragrafo 1 o 2 deve essere rettificata, ne informa lo Stato membro interessato e cerca di concordare una modifica da apportare alla valutazione. Senza tale accordo Europol non può modificare la valutazione.
4. Se riceve da uno Stato membro informazioni non corredate di una valutazione di cui al paragrafo 1 o 2, Europol cerca di stabilire l'affidabilità della fonte o l'esattezza dell'informazione sulla base delle informazioni già in suo possesso. La valutazione di dati e informazioni specifici ha luogo di concerto con lo Stato membro che li ha forniti. Uno Stato membro e Europol possono anche convenire, in termini generali, le modalità di valutazione di tipi specifici di dati e di fonti specifiche. Qualora non sia possibile raggiungere un accordo in un caso specifico o qualora non sussista un accordo in termini generali, Europol valuta l'informazione o i dati e assegna a tali informazioni o dati il codice di valutazione X) di cui al paragrafo 1 e il codice di valutazione 4) di cui al paragrafo 2.
5. Il presente articolo si applica per analogia quando Europol riceve dati o informazioni da un organismo dell'Unione, un paese terzo, un'organizzazione internazionale o una parte privata.
6. L'informazione che proviene da una fonte accessibile al pubblico è valutata da Europol secondo i codici di valutazione di cui ai paragrafi 1 e 2.
7. Quando l'informazione risulta da un'analisi effettuata da Europol nello svolgimento dei suoi compiti, Europol valuta tale informazione conformemente al presente articolo e di concerto con gli Stati membri partecipanti all'analisi.
Art. 30 Trattamento di categorie particolari di dati personali e di diverse categorie di interessati
1. È consentito il trattamento di dati personali relativi a vittime di reato, testimoni o altre persone che possono fornire informazioni riguardanti reati e a persone di età inferiore agli anni diciotto se strettamente necessario e proporzionato per prevenire o combattere forme di criminalità rientranti negli obiettivi di Europol.
2. Il trattamento, mediante procedimenti automatizzati o meno, di dati personali che rivelino la razza, l’origine etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o alla vita sessuale o all’orientamento sessuale di una persona fisica sono autorizzati solo se strettamente proporzionato e necessario ai fini dei progetti di ricerca e innovazione di cui all’articolo 33 bis e per finalità operative, rientranti negli obiettivi di Europol, e per la sola finalità di prevenire o combattere forme di criminalità rientranti nell’ambito degli obiettivi di Europol. Tale trattamento è altresì soggetto alle garanzie adeguate di cui al presente regolamento con riguardo ai diritti e alle libertà dell’interessato e, ad eccezione dei dati biometrici trattati ai fini dell’identificazione univoca di una persona fisica, è consentito solo se tali dati integrano altri dati personali trattati da Europol. È vietata la selezione di un particolare gruppo di persone basata unicamente su tali dati personali.
2 bis. Il responsabile della protezione dei dati è informato senza indebito ritardo nel caso in cui sia effettuato un trattamento di dati personali a norma del presente articolo.
3.
Solo Europol ha accesso diretto ai dati personali del tipo di cui ai paragrafi 1 e 2. Il direttore esecutivo autorizza debitamente l’accesso di un numero limitato di funzionari di Europol ove ciò sia necessario per lo svolgimento dei loro compiti.
Fatto salvo il primo comma, ove ciò sia necessario per garantire l’accesso ai dati personali ai funzionari delle autorità competenti degli Stati membri o a agenzie dell’Unione sulla base del titolo V TFUE per lo svolgimento dei loro compiti, nei casi di cui all’articolo 20, paragrafi 1 e 2 bis del presente regolamento, o per progetti di ricerca e innovazione conformemente all’articolo 33 bis, paragrafo 2, lettera d) del presente regolamento, il direttore esecutivo autorizza debitamente l’accesso di un numero limitato di tali funzionari.
4.
5. I dati personali del tipo di cui ai paragrafi 1 e 2 non sono trasmessi a Stati membri o organismi dell’Unione né trasferiti a paesi terzi e organizzazioni internazionali, salvo che tale trasmissione o trasferimento siano richiesti a norma del diritto dell’Unione o siano strettamente necessari e proporzionati in casi specifici relativi a forme di criminalità rientranti negli obiettivi di Europol e avvengano in conformità del capo V.
6. Ogni anno Europol presenta al GEPD un quadro statistico di tutti i dati personali del tipo di cui al paragrafo 2 oggetto di trattamento.
Art. 31 Termini per la conservazione e la cancellazione dei dati personali
1. I dati personali trattati da Europol sono da essa conservati solo per il tempo necessario e proporzionato ai fini per i quali i dati sono trattati.
2. In ogni caso, entro tre anni dall'avvio del trattamento iniziale dei dati personali, Europol esamina la necessità di un'ulteriore conservazione. Europol può decidere di continuare a conservare i dati fino all'esame successivo, che ha luogo dopo un ulteriore periodo di tre anni, qualora l'ulteriore conservazione sia ancora necessaria per lo svolgimento dei suoi compiti. I motivi dell'ulteriore conservazione devono essere giustificati e registrati. Se non è deciso nulla in merito all'ulteriore conservazione dei dati personali, questi sono automaticamente cancellati dopo tre anni.
3. Se i dati personali del tipo di cui all'articolo 30, paragrafi 1 e 2, sono conservati per più di cinque anni, ne è informato il GEPD.
4. Qualora uno Stato membro, un organismo dell'Unione, un paese terzo o un'organizzazione internazionale abbia indicato, al momento del trasferimento, limitazioni sui dati personali per quanto concerne la loro cancellazione o distruzione anticipata conformemente all'articolo 19, paragrafo 2, Europol cancella i dati personali in osservanza di tali limitazioni. Ove, sulla base di informazioni più ampie di quelle possedute dal fornitore dei dati, si ritenga necessario continuare a conservare i dati affinché Europol svolga i suoi compiti, quest'ultima chiede al fornitore dei dati l'autorizzazione all'ulteriore conservazione e giustifica la propria richiesta.
5. Qualora uno Stato membro, un organismo dell'Unione, un paese terzo o un'organizzazione internazionale cancelli dai propri archivi dati personali forniti a Europol, informa quest'ultima al riguardo. Europol cancella i dati a meno che, sulla base di informazioni più ampie di quelle possedute dal fornitore dei dati, si ritenga necessario continuare a conservare i dati affinché Europol svolga i suoi compiti. Europol informa il fornitore dei dati dell'ulteriore conservazione di tali dati e fornisce una giustificazione.
6. I dati personali non sono cancellati:
a) se ciò rischia di ledere gli interessi di un interessato da tutelare. In tal caso i dati sono usati solo con il consenso esplicito e scritto dell'interessato;
b) quando l'interessato ne contesta l'esattezza, per il periodo necessario agli Stati membri o a Europol, se del caso, ad effettuare le opportune verifiche;
c) quando devono essere conservati a fini probatori ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria; oppure
d) quando l'interessato si oppone alla loro cancellazione e chiede invece che ne sia limitato l'utilizzo.
Art. 32 Sicurezza del trattamento
I meccanismi per garantire che le misure di sicurezza siano prese in considerazione oltre i limiti dei sistemi d’informazione sono istituiti da Europol conformemente all’articolo 91 del regolamento (UE) 2018/1725 e dagli Stati membri conformemente all’articolo 29 della direttiva (UE) 2016/680.
Art. 33 bis Trattamento dei dati personali a fini di ricerca e innovazione
1.
Europol può trattare dati personali per le finalità legate ai suoi progetti di ricerca e innovazione a condizione che il trattamento di tali dati personali:
a) sia strettamente necessario e debitamente motivato per conseguire gli obiettivi del progetto in questione;
b) per quanto riguarda le categorie particolari di dati personali, sia strettamente necessario e soggetto a garanzie adeguate, che possono includere la pseudonimizzazione.
Il trattamento di dati personali effettuato da Europol nel contesto dei progetti di ricerca e innovazione è guidato dai principi della trasparenza, della spiegabilità, della correttezza e della rendicontabilità.
2. Fatto salvo il paragrafo 1, al trattamento di dati personali effettuato nel contesto di progetti di ricerca e innovazione di Europol, si applicano le garanzie seguenti:
a) ogni progetto di ricerca e innovazione esige la previa autorizzazione del direttore esecutivo, in consultazione con il responsabile della protezione dei dati e con il responsabile dei diritti fondamentali, basata su:
i) una descrizione degli obiettivi del progetto e della spiegazione di come il progetto assiste Europol o le autorità competenti degli Stati membri nei loro compiti;
ii) una descrizione dell’attività di trattamento prevista che definisca gli obiettivi, la portata e la durata del trattamento e da cui risultino la necessità di trattare i dati personali e la proporzionalità del trattamento, ad esempio per studiare e testare soluzioni tecnologiche innovative e garantire l’esattezza dei risultati del progetto;
iii) una descrizione delle categorie di dati personali da trattare;
iv) una valutazione della conformità con i principi di protezione dei dati di cui all’articolo 71 del regolamento (UE) 2018/1725, dei termini per la conservazione e delle condizioni di accesso ai dati personali; e
v) una valutazione d’impatto sulla protezione dei dati, compresi i rischi per tutti i diritti e le libertà degli interessati, il rischio di eventuali distorsioni nei dati personali da usare a fini di formazione di algoritmi e nei risultati del trattamento, come pure le misure previste per far fronte a tali rischi e per evitare violazioni dei diritti fondamentali;
b) il GEPD è informato prima dell’avvio del progetto;
c) il consiglio di amministrazione è consultato o informato prima dell’avvio del progetto, conformemente agli orientamenti di cui all’articolo 18, paragrafo 7;
d) i dati personali da trattare nell’ambito del progetto:
i) sono copiati temporaneamente in un ambiente separato, isolato e protetto di Europol ai soli fini dell’esecuzione del progetto;
ii) sono accessibili solo dal personale Europol specificatamente autorizzato conformemente all’articolo 30, paragrafo 3, del presente regolamento e, fatte salve le misure di sicurezza tecniche, dal personale specificatamente autorizzato delle autorità competenti degli Stati membri e delle agenzie dell’Unione istituite sulla base del titolo V del TFUE;
iii) non sono trasmessi, o trasferiti;
iv) non comportano misure o decisioni aventi ripercussioni sugli interessati a seguito del loro trattamento;
v) sono cancellati alla conclusione del progetto o alla scadenza dei termini di conservazione dei dati personali di cui all’articolo 31;
e) le registrazioni del trattamento dei dati personali nell’ambito del progetto sono conservate fino a due anni dopo la conclusione del progetto, unicamente per verificare l’esattezza dei risultati del trattamento dei dati e solo fintantoché necessario a tal fine.
3. Il consiglio di amministrazione stabilisce in un documento vincolante i progetti di ricerca e innovazione. Tale documento è aggiornato ove opportuno e messo a disposizione del GEPD ai fini dello svolgimento del suo controllo.
4. Europol conserva un documento contenente una descrizione dettagliata del processo e della logica alla base della formazione, della prova e della convalida degli algoritmi a fini di trasparenza della procedura e degli algoritmi, compreso il rispetto delle garanzie di cui al presente articolo, e per consentire la verifica dell’esattezza dei risultati basati sull’utilizzo di tali algoritmi. Su richiesta, Europol mette tale documento a disposizione delle parti interessate, compresi gli Stati membri e il gruppo di controllo parlamentare congiunto.
5.
Se i dati da trattare per un progetto di ricerca e innovazione sono stati forniti da uno Stato membro, da un organismo dell’Unione, da un paese terzo o da un’organizzazione internazionale, Europol richiede il consenso di tale fornitore dei dati conformemente all’articolo 19, paragrafo 2, a meno che il fornitore dei dati abbia previamente autorizzato tale trattamento ai fini di progetti di ricerca e innovazione, in termini generali o a condizioni particolari.
Europol non tratta i dati a fini di progetti di ricerca e innovazione senza il consenso del fornitore dei dati. Tale consenso può essere revocato in qualsiasi momento.
Art. 33 Protezione dei dati fin dalla progettazione
Art. 34 Notificazione di una violazione dei dati personali alle autorità interessate
1. Fatto salvo l’articolo 92 del regolamento (UE) 2018/1725, in caso di violazione dei dati personali, Europol notifica la violazione alle autorità competenti degli Stati membri interessati senza indebito ritardo, in conformità dell’articolo 7, paragrafo 5, del presente regolamento, nonché al fornitore dei dati interessato, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.
2. La notificazione di cui al paragrafo 1 deve come minimo:
a) descrivere la natura della violazione dei dati personali, compresi, ove possibile e appropriato, le categorie e il numero di interessati in questione e le categorie e il numero di registrazioni dei dati in questione;
b) descrivere le probabili conseguenze della violazione dei dati personali;
c) descrivere le misure proposte o adottate da Europol per porre rimedio alla violazione dei dati personali; e
d) ove opportuno, elencare le misure raccomandate per attenuare i possibili effetti pregiudizievoli della violazione dei dati personali.
3.
Art. 35 Comunicazione di una violazione dei dati personali all'interessato
Fatto salvo l’articolo 93 del regolamento (UE) 2018/1725, nel caso in cui Europol non disponga dei recapiti dell’interessato in questione, al fornitore dei dati è chiesto di comunicare all’interessato la violazione dei dati personali e di informare Europol della decisione presa. Gli Stati membri che forniscono i dati comunicano la violazione dei dati personali all’interessato in questione conformemente al diritto nazionale.
1.
2.
3.
4.
5.
Art. 36 Diritto di accesso dell'interessato
1.
2.
3. L’interessato che desideri esercitare il diritto di accesso ai dati personali che lo riguardano, conformemente all’articolo 80 del regolamento (UE) 2018/1725, può presentare un’apposita domanda all’autorità designata a tal fine nello Stato membro di sua scelta o a Europol. Se la domanda è presentata a tale autorità, essa sottopone la domanda a Europol senza indebito ritardo ed entro un mese dal ricevimento.
4. Europol accusa ricezione della domanda di cui al paragrafo 3. Europol risponde alla domanda senza ingiustificato ritardo e in ogni caso entro tre mesi dalla ricezione della domanda dell'autorità nazionale.
5. Europol consulta le autorità competenti degli Stati membri, in conformità delle condizioni di cui all'articolo 7, paragrafo 5, e il fornitore dei dati interessato sulla decisione da prendere. La decisione di accesso ai dati personali è subordinata alla stretta cooperazione tra Europol e gli Stati membri e il fornitore dei dati direttamente interessato dall'accesso dell'interessato ai dati. Se uno Stato membro o il fornitore dei dati si oppone alla risposta proposta da Europol, comunica la motivazione a Europol in conformità del presente articolo, paragrafo 6. Europol tiene nella massima considerazione tali opposizioni. Europol comunica successivamente la sua decisione alle autorità competenti interessate, in conformità delle condizioni di cui all'articolo 7, paragrafo 5, e al fornitore dei dati.
6.
7.
Art. 37 Diritto di rettifica, cancellazione e limitazione dell'accesso
1. L’interessato che desideri esercitare il diritto di rettifica o cancellazione di dati personali che lo riguardano o di limitazione del loro trattamento, conformemente all’articolo 82 del regolamento (UE) 2018/1725, può presentare un’apposita domanda all’autorità designata a tal fine nello Stato membro di sua scelta o a Europol. Se la domanda è presentata a tale autorità, questa sottopone la domanda a Europol senza indebito ritardo e entro un mese dal ricevimento.
2.
3.
Fatto salvo l’articolo 82, paragrafo 3, del regolamento (UE) 2018/1725, anziché cancellarli, Europol limita l’accesso ai dati personali se sussistono fondati motivi di ritenere che la cancellazione possa compromettere i legittimi interessi dell’interessato.
I dati ai quali l’accesso è limitato sono trattati soltanto al fine di tutelare i diritti dell’interessato, quando è necessario per salvaguardare l’interesse vitale di un interessato o di un’altra persona, o per le finalità di cui all’articolo 82, paragrafo 3, del regolamento (UE) 2018/1725.
4. Qualora i dati personali di cui ai paragrafi 1 e 3 detenuti da Europol siano stati forniti da paesi terzi, organizzazioni internazionali o organismi dell’Unione, o siano stati forniti direttamente da parti private, reperiti da Europol da fonti accessibili al pubblico oppure siano il risultato di analisi di Europol, quest’ultima provvede alla rettifica o alla cancellazione di tali dati, o alla limitazione del trattamento degli stessi e ne informa, se del caso, i fornitori dei dati.
5. Qualora i dati personali di cui ai paragrafi 1 e 3 detenuti da Europol siano stati forniti a Europol da Stati membri, gli Stati membri interessati provvedono alla rettifica o alla cancellazione di tali dati o alla limitazione del trattamento degli stessi in cooperazione con Europol nei limiti delle rispettive competenze.
6. Se i dati personali errati sono stati trasferiti con altro mezzo appropriato o se gli errori nei dati forniti da Stati membri sono dovuti a mancato trasferimento o sono trasferiti in violazione del presente regolamento, oppure al fatto che Europol ha immesso, ripreso o conservato i dati in modo errato o in violazione del presente regolamento, Europol li rettifica o li cancella in collaborazione con il fornitore dei dati interessato.
7. Nei casi di cui ai paragrafi 4, 5 e 6, tutti i destinatari dei dati interessati sono informati senza indugio. I destinatari provvedono quindi alla rettifica, alla cancellazione dei dati o alla limitazione dell'accesso agli stessi nei rispettivi sistemi conformemente alle norme loro applicabili.
8.
9.
Art. 38 Responsabilità in materia di protezione dei dati
1. Europol tratta i dati personali in modo che sia possibile individuarne la fonte conformemente all’articolo 17.
2. La responsabilità dell’esattezza dei dati personali ai sensi dell’articolo 71, paragrafo 1, lettera d), del regolamento (UE) 2018/1725 spetta:
a) allo Stato membro o all'organismo dell'Unione che ha fornito i dati personali a Europol;
b) a Europol per quanto riguarda i dati personali forniti da paesi terzi o organizzazioni internazionali o forniti direttamente da parti private, i dati personali reperiti da Europol da fonti accessibili al pubblico o risultanti da analisi di Europol e i dati personali conservati da Europol a norma dell'articolo 31, paragrafo 5.
3. Se Europol viene a conoscenza della circostanza che i dati forniti a norma dell'articolo 17, paragrafo 1, lettere a) e b), contengono errori di fatto o sono stati conservati illecitamente, ne informa il fornitore dei dati.
4. Europol è responsabile della conformità con il regolamento (UE) 2018/1725 riguardo ai dati personali amministrativi e della conformità con il presente regolamento e al capo IX, articolo 3, del regolamento (UE) 2018/1725 riguardo ai dati personali.
5. La responsabilità della liceità del trasferimento dei dati spetta:
a) allo Stato membro che ha fornito i dati personali a Europol;
b) a Europol, in caso di dati personali forniti dall'Agenzia a Stati membri, paesi terzi o organizzazioni internazionali.
6.
La responsabilità della liceità del trasferimento di dati tra Europol e un organismo dell'Unione spetta a Europol.
Fatto salvo il primo comma, se i dati sono trasferiti da Europol su richiesta del destinatario, Europol e il destinatario sono entrambi responsabili della liceità del trasferimento.
7. Europol è responsabile di tutti i trattamenti di dati che effettua, ad eccezione dello scambio bilaterale di dati effettuato tramite l'infrastruttura di Europol tra Stati membri, organismi dell'Unione, paesi terzi e organizzazioni internazionali a cui Europol non ha accesso. Tali scambi bilaterali hanno luogo sotto la responsabilità delle entità interessate e conformemente al loro diritto. La sicurezza di tali scambi è assicurata a norma dell’articolo 91 del regolamento (UE) 2018/1725.
Art. 39 Consultazione preventiva
1. Fatto salvo l’articolo 90 del regolamento (UE) 2018/1725, la consultazione preventiva del GEDP non si applica a specifiche attività operative individuali che non includono alcun nuovo tipo di trattamento che presenti un rischio elevato per i diritti e le libertà degli interessati.
2. Europol può avviare trattamenti che sono oggetto di consultazione preventiva del GEPD a norma dell’ articolo 90, paragrafo 1, del regolamento (UE) 2018/1725, a meno che il GEPD non abbia fornito un parere scritto a norma dell’articolo 90, paragrafo 4, di tale regolamento entro i termini previsti in tale disposizione, che iniziano a decorrere dalla data di ricevimento della richiesta iniziale di consultazione e non sono sospesi.
3.
Qualora le operazioni di trattamento di cui al paragrafo 2 del presente articolo rivestano notevole importanza per lo svolgimento dei compiti di Europol ed siano particolarmente urgenti e necessarie per prevenire e combattere una minaccia immediata riguardante un reato che rientra nell’ambito degli obiettivi di Europol o per salvaguardare gli interessi vitali di un interessato o di un’altra persona, Europol può, in via eccezionale, iniziare il trattamento dopo l’avvio della consultazione preventiva del GEPD prevista dall’articolo 90, paragrafo 1, del regolamento (UE) 2018/1725, e prima della scadenza del termine prevista dall’articolo 90, paragrafo 4, di tale regolamento. In tal caso, Europol informa il GEPD prima dell’inizio delle operazioni di trattamento.
Il parere scritto del GEPD a norma dell’articolo 90, paragrafo 4, del regolamento (UE) 2018/1725 è preso in considerazione a posteriori e le modalità di esecuzione del trattamento sono adeguate di conseguenza.
Il responsabile della protezione dei dati partecipa alla valutazione dell’urgenza di tali operazioni di trattamento prima della scadenza del termine prevista dall’articolo 90, paragrafo 4, del regolamento (UE) 2018/1725e sovrintende al trattamento in questione.
4. Il GEPD tiene un registro di tutti i trattamenti che gli sono stati notificati a norma del paragrafo 1. Il registro non è reso pubblico.
Art. 39 bis Registri delle categorie di attività di trattamento
1. Europol tiene un registro di tutte le categorie di attività di trattamento sotto la propria responsabilità. Tale registro contiene le informazioni seguenti:
a) i dati di contatto di Europol e il nome e i dati di contatto del proprio responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo, un’organizzazione internazionale o una parte privata, compresa l’identificazione del destinatario;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 91 del regolamento (UE) 2018/1725;
h) ove applicabile, il ricorso alla profilazione.
2. I registri di cui al paragrafo 1 sono tenuti in forma scritta, anche in formato elettronico.
3. Su richiesta, Europol mette i registri di cui al paragrafo 1 a disposizione del GEPD.
Art. 40 Registrazione
1. In conformità dell’articolo 88 del regolamento (UE) 2018/1725, Europol registra i suoi trattamenti. Non è possibile modificare le registrazioni.
2. Fatto salvo l’articolo 88 del regolamento (UE) 2018/1725, se richiesto da un’autorità nazionale ove necessario per un’indagine specifica connessa al rispetto delle norme in materia di protezione dei dati, le registrazioni di cui al paragrafo 1 sono trasmesse all’unità nazionale.
Art. 41 Designazione del responsabile della protezione dei dati
1. Il consiglio di amministrazione nomina, appositamente a tale scopo, un membro del personale di Europol come responsabile della protezione dei dati.
2. Il responsabile della protezione dei dati è selezionato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di eseguire i compiti di cui all’articolo 41 ter del presente regolamento e al regolamento (UE) 2018/1725.
3. La scelta del responsabile della protezione dei dati non deve poter dare adito a un conflitto di interessi tra la sua funzione di responsabile della protezione dei dati ed eventuali altre funzioni ufficiali, in particolare relativamente all’applicazione del presente regolamento.
4. Il responsabile della protezione dei dati non è rimosso o penalizzato dal consiglio di amministrazione per l’adempimento dei propri compiti.
5. Europol pubblica i dati di contatto del responsabile della protezione dei dati e li comunica al GEPD.
6.
7.
8.
9.
10.
11.
12.
Art. 41 bis Posizione del responsabile della protezione dei dati
1. Europol si assicura che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
2.
Europol sostiene il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 41 ter fornendogli le risorse e il personale necessari per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.
Per sostenere il responsabile della protezione dei dati nell’esecuzione dei suoi compiti, un membro del personale di Europol può essere nominato responsabile aggiunto della protezione dei dati.
3.
Europol si assicura che il responsabile della protezione dei dati agisca in modo indipendente e non riceva alcuna istruzione per quanto riguarda l’esecuzione dei suoi compiti.
Il responsabile della protezione dei dati riferisce direttamente al consiglio di amministrazione.
4.
Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento e dal regolamento (UE) 2018/1725.
Nessuno deve subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati competente e riguardante un’asserita violazione del presente regolamento o del regolamento (UE) 2018/1725.
5. Il consiglio di amministrazione adotta norme di attuazione relative al responsabile della protezione dei dati. Tali norme di attuazione riguardano in particolare la procedura di selezione, la revoca, i compiti, gli obblighi e le competenze, nonché le garanzie di indipendenza.
6. Il responsabile della protezione dei dati e il suo personale sono soggetti all’obbligo di riservatezza ai sensi dell’articolo 67, paragrafo 1.
7. Il responsabile della protezione dei dati è nominato per un periodo di quattro anni e il suo mandato è rinnovabile.
8. Il responsabile della protezione dei dati è destituito dalle sue funzioni dal consiglio di amministrazione se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni e solo con il consenso del GEPD.
9. La designazione del responsabile della protezione dei dati e del responsabile aggiunto della protezione dei dati è comunicata al GEPD dal consiglio di amministrazione.
10. Le disposizioni applicabili al responsabile della protezione dei dati si applicano mutatis mutandis al responsabile aggiunto della protezione dei dati.
Art. 41 ter Compiti del responsabile della protezione dei dati
1. Il responsabile della protezione dei dati è incaricato, in particolare, dei seguenti compiti per quanto riguarda il trattamento dei dati personali:
a) assicurare in modo indipendente che Europol osservi le disposizioni relative alla protezione dei dati del presente regolamento e del regolamento (UE) 2018/1725 nonché le pertinenti disposizioni relative alla protezione dei dati contenute nelle proprie norme interne, incluso il controllo dell’osservanza del presente regolamento, del regolamento (UE) 2018/1725, di altre disposizioni dell’Unione o nazionali relative alla protezione dei dati nonché delle politiche di Europol in materia di protezione dei dati personali, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
b) informare e fornire consulenza a Europol nonché al personale che esegue il trattamento dei dati personali in merito agli obblighi derivanti dal presente regolamento, dal regolamento (UE) 2018/1725 nonché da altre disposizioni dell’Unione o nazionali relative alla protezione dei dati;
c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati a norma dell’ articolo 89 del regolamento (UE) 2018/1725, e sorvegliarne lo svolgimento;
d) tenere un registro delle violazioni di dati personali e fornire, se richiesto, un parere in merito alla necessità di notificare o comunicare una violazione dei dati personali a norma degli articoli 92 e 93 del regolamento (UE) 2018/1725;
e) garantire che sia mantenuta traccia della trasmissione, del trasferimento e del ricevimento di dati personali a norma del presente regolamento;
f) garantire che gli interessati siano informati, su richiesta, dei propri diritti ai sensi del presente regolamento e del regolamento (UE) 2018/1725;
g) cooperare con il personale Europol preposto alle procedure, alla formazione e alla consulenza in materia di trattamento dati;
h) rispondere alle richieste del GEPD, nell’ambito delle sue competenze, cooperare con il GEPD e consultare il GEPD, su richiesta di quest’ultimo o di propria iniziativa;
i) cooperare con le autorità competenti degli Stati membri, in particolare con i responsabili della protezione dei dati delle autorità competenti degli Stati membri e con le autorità di controllo nazionali su questioni relative alla protezione dei dati nel settore dell’attività di contrasto;
j) fungere da punto di contatto per il GEPD per questioni connesse al trattamento, tra cui la consultazione preventiva di cui agli articoli 40 e 90 del regolamento (UE) 2018/1725, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione nell’ambito delle sue competenze;
k) redigere una relazione annuale e trasmetterla al consiglio di amministrazione e al GEPD;
l) garantire che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati.
2.
Il responsabile della protezione dei dati può formulare raccomandazioni destinate al consiglio di amministrazione ai fini del miglioramento concreto della protezione dei dati e fornire consulenza su questioni concernenti l’applicazione delle disposizioni relative alla protezione dei dati.
Il responsabile della protezione dei dati può, di propria iniziativa o su richiesta del consiglio di amministrazione o di qualsiasi persona, indagare sulle questioni e sui fatti direttamente collegati con l’esercizio dei propri compiti e di cui viene a conoscenza, e riferire alla persona che lo ha incaricato dell’indagine o al consiglio di amministrazione i risultati di tale indagine.
3. Il responsabile della protezione dei dati svolge le funzioni di cui al regolamento (UE) 2018/1725 per quanto riguarda i dati personali amministrativi.
4. Nello svolgimento dei propri compiti, il responsabile della protezione dei dati e i membri del personale Europol che lo assistono nell’esercizio delle sue funzioni hanno accesso a tutti i dati trattati da Europol e a tutti i locali di Europol.
5.
Qualora ritenga che non siano state rispettate le disposizioni del presente regolamento o del regolamento (UE) 2018/1725 relative al trattamento dei dati personali amministrativi, o le disposizioni del presente regolamento o dell’articolo 3 e del capo IX del regolamento (UE) 2018/1725 relative al trattamento dei dati personali, il responsabile della protezione dei dati ne informa il direttore esecutivo chiedendogli di porre rimedio all’inadempienza entro un termine determinato.
Se il direttore esecutivo non pone rimedio al trattamento non conforme entro il termine determinato, il responsabile della protezione dei dati ne informa il consiglio di amministrazione. Il consiglio di amministrazione risponde entro un termine determinato concordato con il responsabile della protezione dei dati. Se il consiglio di amministrazione non pone rimedio all’inadempienza entro il termine determinato, il responsabile della protezione dei dati si rivolge al GEPD.
Art. 41 quater Responsabile dei diritti fondamentali
1. Il consiglio di amministrazione, su proposta del direttore esecutivo, designa un responsabile dei diritti fondamentali. Il responsabile dei diritti fondamentali può essere un membro del personale Europol attuale che ha ricevuto una specifica formazione su normativa e prassi in materia di diritti fondamentali.
2. Il responsabile dei diritti fondamentali svolge i compiti seguenti:
a) fornire consulenza a Europol, ove lo ritenga necessario o su richiesta, su qualsiasi attività di Europol, senza impedire o ritardare tali attività;
b) monitorare il rispetto dei diritti fondamentali da parte di Europol;
c) formulare pareri non vincolanti sugli accordi di lavoro;
d) informare il direttore esecutivo in merito a eventuali violazioni dei diritti fondamentali nel corso delle attività di Europol;
e) promuovere il rispetto dei diritti fondamentali da parte di Europol durante lo svolgimento dei suoi compiti e delle sue attività;
f) svolgere qualsiasi altro compito, ove previsto dal presente regolamento.
3. Europol provvede affinché il responsabile dei diritti fondamentali non riceva alcuna istruzione per quanto riguarda l’esecuzione dei suoi compiti.
4. Il responsabile dei diritti fondamentali riferisce direttamente al direttore esecutivo e prepara relazioni annuali sulle sue attività, compreso il livello di rispetto dei diritti fondamentali da parte delle attività di Europol. Tali relazioni sono messe a disposizione del consiglio di amministrazione.
Art. 41 quinquies Formazione in materia di diritti fondamentali
Tutto il personale Europol coinvolto in compiti operativi che comportano il trattamento di dati personali riceve una formazione obbligatoria in materia di protezione dei diritti e delle libertà fondamentali, anche in relazione al trattamento dei dati personali. Tale formazione è organizzata in cooperazione con l’Agenzia dell’Unione europea per i diritti fondamentali (FRA), istituita dal regolamento (CE) n. 168/2007 del Consiglio14, e l’Agenzia dell’Unione europea per la formazione delle autorità di contrasto (CEPOL), istituita dal regolamento (UE) 2015/2219 del Parlamento europeo e del Consiglio15.
Art. 42 Vigilanza da parte delle autorità di controllo nazionali
1. Ai fini dell’esercizio della sua funzione di vigilanza, le autorità di controllo nazionale di cui all’articolo 41 della direttiva (UE) 2016/680 hanno accesso, presso i locali delle unità nazionali o degli ufficiali di collegamento, ai dati forniti dal loro Stato membro a Europol, secondo le procedure nazionali applicabili, nonché alle registrazioni di cui all’articolo 40 del presente regolamento.
2. Le autorità di controllo nazionali hanno accesso agli uffici e ai documenti dei rispettivi ufficiali di collegamento presso Europol.
3. Conformemente alle procedure nazionali applicabili, le autorità di controllo nazionali vigilano sulle attività svolte dalle unità nazionali e dagli ufficiali di collegamento, in quanto rilevanti per la protezione dei dati personali. Esse informano, inoltre, il GEPD delle azioni che intraprendono in relazione a Europol.
4. Chiunque ha diritto di chiedere all'autorità di controllo nazionale di verificare la liceità del trasferimento o della comunicazione a Europol, in qualsiasi forma, di dati che lo riguardano, e dell'accesso a tali dati da parte dello Stato membro interessato. Tale diritto è esercitato conformemente al diritto nazionale dello Stato membro in cui la domanda è presentata.