Regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio dell'11 maggio 2016 che istituisce l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI
Testo vigente
Art. 32 Sicurezza del trattamento
I meccanismi per garantire che le misure di sicurezza siano prese in considerazione oltre i limiti dei sistemi d’informazione sono istituiti da Europol conformemente all’articolo 91 del regolamento (UE) 2018/1725 e dagli Stati membri conformemente all’articolo 29 della direttiva (UE) 2016/680.
Art. 33 bis Trattamento dei dati personali a fini di ricerca e innovazione
1.
Europol può trattare dati personali per le finalità legate ai suoi progetti di ricerca e innovazione a condizione che il trattamento di tali dati personali:
a) sia strettamente necessario e debitamente motivato per conseguire gli obiettivi del progetto in questione;
b) per quanto riguarda le categorie particolari di dati personali, sia strettamente necessario e soggetto a garanzie adeguate, che possono includere la pseudonimizzazione.
Il trattamento di dati personali effettuato da Europol nel contesto dei progetti di ricerca e innovazione è guidato dai principi della trasparenza, della spiegabilità, della correttezza e della rendicontabilità.
2. Fatto salvo il paragrafo 1, al trattamento di dati personali effettuato nel contesto di progetti di ricerca e innovazione di Europol, si applicano le garanzie seguenti:
a) ogni progetto di ricerca e innovazione esige la previa autorizzazione del direttore esecutivo, in consultazione con il responsabile della protezione dei dati e con il responsabile dei diritti fondamentali, basata su:
i) una descrizione degli obiettivi del progetto e della spiegazione di come il progetto assiste Europol o le autorità competenti degli Stati membri nei loro compiti;
ii) una descrizione dell’attività di trattamento prevista che definisca gli obiettivi, la portata e la durata del trattamento e da cui risultino la necessità di trattare i dati personali e la proporzionalità del trattamento, ad esempio per studiare e testare soluzioni tecnologiche innovative e garantire l’esattezza dei risultati del progetto;
iii) una descrizione delle categorie di dati personali da trattare;
iv) una valutazione della conformità con i principi di protezione dei dati di cui all’articolo 71 del regolamento (UE) 2018/1725, dei termini per la conservazione e delle condizioni di accesso ai dati personali; e
v) una valutazione d’impatto sulla protezione dei dati, compresi i rischi per tutti i diritti e le libertà degli interessati, il rischio di eventuali distorsioni nei dati personali da usare a fini di formazione di algoritmi e nei risultati del trattamento, come pure le misure previste per far fronte a tali rischi e per evitare violazioni dei diritti fondamentali;
b) il GEPD è informato prima dell’avvio del progetto;
c) il consiglio di amministrazione è consultato o informato prima dell’avvio del progetto, conformemente agli orientamenti di cui all’articolo 18, paragrafo 7;
d) i dati personali da trattare nell’ambito del progetto:
i) sono copiati temporaneamente in un ambiente separato, isolato e protetto di Europol ai soli fini dell’esecuzione del progetto;
ii) sono accessibili solo dal personale Europol specificatamente autorizzato conformemente all’articolo 30, paragrafo 3, del presente regolamento e, fatte salve le misure di sicurezza tecniche, dal personale specificatamente autorizzato delle autorità competenti degli Stati membri e delle agenzie dell’Unione istituite sulla base del titolo V del TFUE;
iii) non sono trasmessi, o trasferiti;
iv) non comportano misure o decisioni aventi ripercussioni sugli interessati a seguito del loro trattamento;
v) sono cancellati alla conclusione del progetto o alla scadenza dei termini di conservazione dei dati personali di cui all’articolo 31;
e) le registrazioni del trattamento dei dati personali nell’ambito del progetto sono conservate fino a due anni dopo la conclusione del progetto, unicamente per verificare l’esattezza dei risultati del trattamento dei dati e solo fintantoché necessario a tal fine.
3. Il consiglio di amministrazione stabilisce in un documento vincolante i progetti di ricerca e innovazione. Tale documento è aggiornato ove opportuno e messo a disposizione del GEPD ai fini dello svolgimento del suo controllo.
4. Europol conserva un documento contenente una descrizione dettagliata del processo e della logica alla base della formazione, della prova e della convalida degli algoritmi a fini di trasparenza della procedura e degli algoritmi, compreso il rispetto delle garanzie di cui al presente articolo, e per consentire la verifica dell’esattezza dei risultati basati sull’utilizzo di tali algoritmi. Su richiesta, Europol mette tale documento a disposizione delle parti interessate, compresi gli Stati membri e il gruppo di controllo parlamentare congiunto.
5.
Se i dati da trattare per un progetto di ricerca e innovazione sono stati forniti da uno Stato membro, da un organismo dell’Unione, da un paese terzo o da un’organizzazione internazionale, Europol richiede il consenso di tale fornitore dei dati conformemente all’articolo 19, paragrafo 2, a meno che il fornitore dei dati abbia previamente autorizzato tale trattamento ai fini di progetti di ricerca e innovazione, in termini generali o a condizioni particolari.
Europol non tratta i dati a fini di progetti di ricerca e innovazione senza il consenso del fornitore dei dati. Tale consenso può essere revocato in qualsiasi momento.
Art. 33 Protezione dei dati fin dalla progettazione
Art. 34 Notificazione di una violazione dei dati personali alle autorità interessate
1. Fatto salvo l’articolo 92 del regolamento (UE) 2018/1725, in caso di violazione dei dati personali, Europol notifica la violazione alle autorità competenti degli Stati membri interessati senza indebito ritardo, in conformità dell’articolo 7, paragrafo 5, del presente regolamento, nonché al fornitore dei dati interessato, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.
2. La notificazione di cui al paragrafo 1 deve come minimo:
a) descrivere la natura della violazione dei dati personali, compresi, ove possibile e appropriato, le categorie e il numero di interessati in questione e le categorie e il numero di registrazioni dei dati in questione;
b) descrivere le probabili conseguenze della violazione dei dati personali;
c) descrivere le misure proposte o adottate da Europol per porre rimedio alla violazione dei dati personali; e
d) ove opportuno, elencare le misure raccomandate per attenuare i possibili effetti pregiudizievoli della violazione dei dati personali.
3.
Art. 35 Comunicazione di una violazione dei dati personali all'interessato
Fatto salvo l’articolo 93 del regolamento (UE) 2018/1725, nel caso in cui Europol non disponga dei recapiti dell’interessato in questione, al fornitore dei dati è chiesto di comunicare all’interessato la violazione dei dati personali e di informare Europol della decisione presa. Gli Stati membri che forniscono i dati comunicano la violazione dei dati personali all’interessato in questione conformemente al diritto nazionale.
1.
2.
3.
4.
5.
Art. 36 Diritto di accesso dell'interessato
1.
2.
3. L’interessato che desideri esercitare il diritto di accesso ai dati personali che lo riguardano, conformemente all’articolo 80 del regolamento (UE) 2018/1725, può presentare un’apposita domanda all’autorità designata a tal fine nello Stato membro di sua scelta o a Europol. Se la domanda è presentata a tale autorità, essa sottopone la domanda a Europol senza indebito ritardo ed entro un mese dal ricevimento.
4. Europol accusa ricezione della domanda di cui al paragrafo 3. Europol risponde alla domanda senza ingiustificato ritardo e in ogni caso entro tre mesi dalla ricezione della domanda dell'autorità nazionale.
5. Europol consulta le autorità competenti degli Stati membri, in conformità delle condizioni di cui all'articolo 7, paragrafo 5, e il fornitore dei dati interessato sulla decisione da prendere. La decisione di accesso ai dati personali è subordinata alla stretta cooperazione tra Europol e gli Stati membri e il fornitore dei dati direttamente interessato dall'accesso dell'interessato ai dati. Se uno Stato membro o il fornitore dei dati si oppone alla risposta proposta da Europol, comunica la motivazione a Europol in conformità del presente articolo, paragrafo 6. Europol tiene nella massima considerazione tali opposizioni. Europol comunica successivamente la sua decisione alle autorità competenti interessate, in conformità delle condizioni di cui all'articolo 7, paragrafo 5, e al fornitore dei dati.
6.
7.
Art. 37 Diritto di rettifica, cancellazione e limitazione dell'accesso
1. L’interessato che desideri esercitare il diritto di rettifica o cancellazione di dati personali che lo riguardano o di limitazione del loro trattamento, conformemente all’articolo 82 del regolamento (UE) 2018/1725, può presentare un’apposita domanda all’autorità designata a tal fine nello Stato membro di sua scelta o a Europol. Se la domanda è presentata a tale autorità, questa sottopone la domanda a Europol senza indebito ritardo e entro un mese dal ricevimento.
2.
3.
Fatto salvo l’articolo 82, paragrafo 3, del regolamento (UE) 2018/1725, anziché cancellarli, Europol limita l’accesso ai dati personali se sussistono fondati motivi di ritenere che la cancellazione possa compromettere i legittimi interessi dell’interessato.
I dati ai quali l’accesso è limitato sono trattati soltanto al fine di tutelare i diritti dell’interessato, quando è necessario per salvaguardare l’interesse vitale di un interessato o di un’altra persona, o per le finalità di cui all’articolo 82, paragrafo 3, del regolamento (UE) 2018/1725.
4. Qualora i dati personali di cui ai paragrafi 1 e 3 detenuti da Europol siano stati forniti da paesi terzi, organizzazioni internazionali o organismi dell’Unione, o siano stati forniti direttamente da parti private, reperiti da Europol da fonti accessibili al pubblico oppure siano il risultato di analisi di Europol, quest’ultima provvede alla rettifica o alla cancellazione di tali dati, o alla limitazione del trattamento degli stessi e ne informa, se del caso, i fornitori dei dati.
5. Qualora i dati personali di cui ai paragrafi 1 e 3 detenuti da Europol siano stati forniti a Europol da Stati membri, gli Stati membri interessati provvedono alla rettifica o alla cancellazione di tali dati o alla limitazione del trattamento degli stessi in cooperazione con Europol nei limiti delle rispettive competenze.
6. Se i dati personali errati sono stati trasferiti con altro mezzo appropriato o se gli errori nei dati forniti da Stati membri sono dovuti a mancato trasferimento o sono trasferiti in violazione del presente regolamento, oppure al fatto che Europol ha immesso, ripreso o conservato i dati in modo errato o in violazione del presente regolamento, Europol li rettifica o li cancella in collaborazione con il fornitore dei dati interessato.
7. Nei casi di cui ai paragrafi 4, 5 e 6, tutti i destinatari dei dati interessati sono informati senza indugio. I destinatari provvedono quindi alla rettifica, alla cancellazione dei dati o alla limitazione dell'accesso agli stessi nei rispettivi sistemi conformemente alle norme loro applicabili.
8.
9.
Art. 38 Responsabilità in materia di protezione dei dati
1. Europol tratta i dati personali in modo che sia possibile individuarne la fonte conformemente all’articolo 17.
2. La responsabilità dell’esattezza dei dati personali ai sensi dell’articolo 71, paragrafo 1, lettera d), del regolamento (UE) 2018/1725 spetta:
a) allo Stato membro o all'organismo dell'Unione che ha fornito i dati personali a Europol;
b) a Europol per quanto riguarda i dati personali forniti da paesi terzi o organizzazioni internazionali o forniti direttamente da parti private, i dati personali reperiti da Europol da fonti accessibili al pubblico o risultanti da analisi di Europol e i dati personali conservati da Europol a norma dell'articolo 31, paragrafo 5.
3. Se Europol viene a conoscenza della circostanza che i dati forniti a norma dell'articolo 17, paragrafo 1, lettere a) e b), contengono errori di fatto o sono stati conservati illecitamente, ne informa il fornitore dei dati.
4. Europol è responsabile della conformità con il regolamento (UE) 2018/1725 riguardo ai dati personali amministrativi e della conformità con il presente regolamento e al capo IX, articolo 3, del regolamento (UE) 2018/1725 riguardo ai dati personali.
5. La responsabilità della liceità del trasferimento dei dati spetta:
a) allo Stato membro che ha fornito i dati personali a Europol;
b) a Europol, in caso di dati personali forniti dall'Agenzia a Stati membri, paesi terzi o organizzazioni internazionali.
6.
La responsabilità della liceità del trasferimento di dati tra Europol e un organismo dell'Unione spetta a Europol.
Fatto salvo il primo comma, se i dati sono trasferiti da Europol su richiesta del destinatario, Europol e il destinatario sono entrambi responsabili della liceità del trasferimento.
7. Europol è responsabile di tutti i trattamenti di dati che effettua, ad eccezione dello scambio bilaterale di dati effettuato tramite l'infrastruttura di Europol tra Stati membri, organismi dell'Unione, paesi terzi e organizzazioni internazionali a cui Europol non ha accesso. Tali scambi bilaterali hanno luogo sotto la responsabilità delle entità interessate e conformemente al loro diritto. La sicurezza di tali scambi è assicurata a norma dell’articolo 91 del regolamento (UE) 2018/1725.
Art. 39 Consultazione preventiva
1. Fatto salvo l’articolo 90 del regolamento (UE) 2018/1725, la consultazione preventiva del GEDP non si applica a specifiche attività operative individuali che non includono alcun nuovo tipo di trattamento che presenti un rischio elevato per i diritti e le libertà degli interessati.
2. Europol può avviare trattamenti che sono oggetto di consultazione preventiva del GEPD a norma dell’ articolo 90, paragrafo 1, del regolamento (UE) 2018/1725, a meno che il GEPD non abbia fornito un parere scritto a norma dell’articolo 90, paragrafo 4, di tale regolamento entro i termini previsti in tale disposizione, che iniziano a decorrere dalla data di ricevimento della richiesta iniziale di consultazione e non sono sospesi.
3.
Qualora le operazioni di trattamento di cui al paragrafo 2 del presente articolo rivestano notevole importanza per lo svolgimento dei compiti di Europol ed siano particolarmente urgenti e necessarie per prevenire e combattere una minaccia immediata riguardante un reato che rientra nell’ambito degli obiettivi di Europol o per salvaguardare gli interessi vitali di un interessato o di un’altra persona, Europol può, in via eccezionale, iniziare il trattamento dopo l’avvio della consultazione preventiva del GEPD prevista dall’articolo 90, paragrafo 1, del regolamento (UE) 2018/1725, e prima della scadenza del termine prevista dall’articolo 90, paragrafo 4, di tale regolamento. In tal caso, Europol informa il GEPD prima dell’inizio delle operazioni di trattamento.
Il parere scritto del GEPD a norma dell’articolo 90, paragrafo 4, del regolamento (UE) 2018/1725 è preso in considerazione a posteriori e le modalità di esecuzione del trattamento sono adeguate di conseguenza.
Il responsabile della protezione dei dati partecipa alla valutazione dell’urgenza di tali operazioni di trattamento prima della scadenza del termine prevista dall’articolo 90, paragrafo 4, del regolamento (UE) 2018/1725e sovrintende al trattamento in questione.
4. Il GEPD tiene un registro di tutti i trattamenti che gli sono stati notificati a norma del paragrafo 1. Il registro non è reso pubblico.
Art. 39 bis Registri delle categorie di attività di trattamento
1. Europol tiene un registro di tutte le categorie di attività di trattamento sotto la propria responsabilità. Tale registro contiene le informazioni seguenti:
a) i dati di contatto di Europol e il nome e i dati di contatto del proprio responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo, un’organizzazione internazionale o una parte privata, compresa l’identificazione del destinatario;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 91 del regolamento (UE) 2018/1725;
h) ove applicabile, il ricorso alla profilazione.
2. I registri di cui al paragrafo 1 sono tenuti in forma scritta, anche in formato elettronico.
3. Su richiesta, Europol mette i registri di cui al paragrafo 1 a disposizione del GEPD.
Art. 40 Registrazione
1. In conformità dell’articolo 88 del regolamento (UE) 2018/1725, Europol registra i suoi trattamenti. Non è possibile modificare le registrazioni.
2. Fatto salvo l’articolo 88 del regolamento (UE) 2018/1725, se richiesto da un’autorità nazionale ove necessario per un’indagine specifica connessa al rispetto delle norme in materia di protezione dei dati, le registrazioni di cui al paragrafo 1 sono trasmesse all’unità nazionale.
Art. 41 Designazione del responsabile della protezione dei dati
1. Il consiglio di amministrazione nomina, appositamente a tale scopo, un membro del personale di Europol come responsabile della protezione dei dati.
2. Il responsabile della protezione dei dati è selezionato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di eseguire i compiti di cui all’articolo 41 ter del presente regolamento e al regolamento (UE) 2018/1725.
3. La scelta del responsabile della protezione dei dati non deve poter dare adito a un conflitto di interessi tra la sua funzione di responsabile della protezione dei dati ed eventuali altre funzioni ufficiali, in particolare relativamente all’applicazione del presente regolamento.
4. Il responsabile della protezione dei dati non è rimosso o penalizzato dal consiglio di amministrazione per l’adempimento dei propri compiti.
5. Europol pubblica i dati di contatto del responsabile della protezione dei dati e li comunica al GEPD.
6.
7.
8.
9.
10.
11.
12.
Art. 41 bis Posizione del responsabile della protezione dei dati
1. Europol si assicura che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
2.
Europol sostiene il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 41 ter fornendogli le risorse e il personale necessari per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.
Per sostenere il responsabile della protezione dei dati nell’esecuzione dei suoi compiti, un membro del personale di Europol può essere nominato responsabile aggiunto della protezione dei dati.
3.
Europol si assicura che il responsabile della protezione dei dati agisca in modo indipendente e non riceva alcuna istruzione per quanto riguarda l’esecuzione dei suoi compiti.
Il responsabile della protezione dei dati riferisce direttamente al consiglio di amministrazione.
4.
Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento e dal regolamento (UE) 2018/1725.
Nessuno deve subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati competente e riguardante un’asserita violazione del presente regolamento o del regolamento (UE) 2018/1725.
5. Il consiglio di amministrazione adotta norme di attuazione relative al responsabile della protezione dei dati. Tali norme di attuazione riguardano in particolare la procedura di selezione, la revoca, i compiti, gli obblighi e le competenze, nonché le garanzie di indipendenza.
6. Il responsabile della protezione dei dati e il suo personale sono soggetti all’obbligo di riservatezza ai sensi dell’articolo 67, paragrafo 1.
7. Il responsabile della protezione dei dati è nominato per un periodo di quattro anni e il suo mandato è rinnovabile.
8. Il responsabile della protezione dei dati è destituito dalle sue funzioni dal consiglio di amministrazione se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni e solo con il consenso del GEPD.
9. La designazione del responsabile della protezione dei dati e del responsabile aggiunto della protezione dei dati è comunicata al GEPD dal consiglio di amministrazione.
10. Le disposizioni applicabili al responsabile della protezione dei dati si applicano mutatis mutandis al responsabile aggiunto della protezione dei dati.
Art. 41 ter Compiti del responsabile della protezione dei dati
1. Il responsabile della protezione dei dati è incaricato, in particolare, dei seguenti compiti per quanto riguarda il trattamento dei dati personali:
a) assicurare in modo indipendente che Europol osservi le disposizioni relative alla protezione dei dati del presente regolamento e del regolamento (UE) 2018/1725 nonché le pertinenti disposizioni relative alla protezione dei dati contenute nelle proprie norme interne, incluso il controllo dell’osservanza del presente regolamento, del regolamento (UE) 2018/1725, di altre disposizioni dell’Unione o nazionali relative alla protezione dei dati nonché delle politiche di Europol in materia di protezione dei dati personali, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
b) informare e fornire consulenza a Europol nonché al personale che esegue il trattamento dei dati personali in merito agli obblighi derivanti dal presente regolamento, dal regolamento (UE) 2018/1725 nonché da altre disposizioni dell’Unione o nazionali relative alla protezione dei dati;
c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati a norma dell’ articolo 89 del regolamento (UE) 2018/1725, e sorvegliarne lo svolgimento;
d) tenere un registro delle violazioni di dati personali e fornire, se richiesto, un parere in merito alla necessità di notificare o comunicare una violazione dei dati personali a norma degli articoli 92 e 93 del regolamento (UE) 2018/1725;
e) garantire che sia mantenuta traccia della trasmissione, del trasferimento e del ricevimento di dati personali a norma del presente regolamento;
f) garantire che gli interessati siano informati, su richiesta, dei propri diritti ai sensi del presente regolamento e del regolamento (UE) 2018/1725;
g) cooperare con il personale Europol preposto alle procedure, alla formazione e alla consulenza in materia di trattamento dati;
h) rispondere alle richieste del GEPD, nell’ambito delle sue competenze, cooperare con il GEPD e consultare il GEPD, su richiesta di quest’ultimo o di propria iniziativa;
i) cooperare con le autorità competenti degli Stati membri, in particolare con i responsabili della protezione dei dati delle autorità competenti degli Stati membri e con le autorità di controllo nazionali su questioni relative alla protezione dei dati nel settore dell’attività di contrasto;
j) fungere da punto di contatto per il GEPD per questioni connesse al trattamento, tra cui la consultazione preventiva di cui agli articoli 40 e 90 del regolamento (UE) 2018/1725, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione nell’ambito delle sue competenze;
k) redigere una relazione annuale e trasmetterla al consiglio di amministrazione e al GEPD;
l) garantire che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati.
2.
Il responsabile della protezione dei dati può formulare raccomandazioni destinate al consiglio di amministrazione ai fini del miglioramento concreto della protezione dei dati e fornire consulenza su questioni concernenti l’applicazione delle disposizioni relative alla protezione dei dati.
Il responsabile della protezione dei dati può, di propria iniziativa o su richiesta del consiglio di amministrazione o di qualsiasi persona, indagare sulle questioni e sui fatti direttamente collegati con l’esercizio dei propri compiti e di cui viene a conoscenza, e riferire alla persona che lo ha incaricato dell’indagine o al consiglio di amministrazione i risultati di tale indagine.
3. Il responsabile della protezione dei dati svolge le funzioni di cui al regolamento (UE) 2018/1725 per quanto riguarda i dati personali amministrativi.
4. Nello svolgimento dei propri compiti, il responsabile della protezione dei dati e i membri del personale Europol che lo assistono nell’esercizio delle sue funzioni hanno accesso a tutti i dati trattati da Europol e a tutti i locali di Europol.
5.
Qualora ritenga che non siano state rispettate le disposizioni del presente regolamento o del regolamento (UE) 2018/1725 relative al trattamento dei dati personali amministrativi, o le disposizioni del presente regolamento o dell’articolo 3 e del capo IX del regolamento (UE) 2018/1725 relative al trattamento dei dati personali, il responsabile della protezione dei dati ne informa il direttore esecutivo chiedendogli di porre rimedio all’inadempienza entro un termine determinato.
Se il direttore esecutivo non pone rimedio al trattamento non conforme entro il termine determinato, il responsabile della protezione dei dati ne informa il consiglio di amministrazione. Il consiglio di amministrazione risponde entro un termine determinato concordato con il responsabile della protezione dei dati. Se il consiglio di amministrazione non pone rimedio all’inadempienza entro il termine determinato, il responsabile della protezione dei dati si rivolge al GEPD.
Art. 41 quater Responsabile dei diritti fondamentali
1. Il consiglio di amministrazione, su proposta del direttore esecutivo, designa un responsabile dei diritti fondamentali. Il responsabile dei diritti fondamentali può essere un membro del personale Europol attuale che ha ricevuto una specifica formazione su normativa e prassi in materia di diritti fondamentali.
2. Il responsabile dei diritti fondamentali svolge i compiti seguenti:
a) fornire consulenza a Europol, ove lo ritenga necessario o su richiesta, su qualsiasi attività di Europol, senza impedire o ritardare tali attività;
b) monitorare il rispetto dei diritti fondamentali da parte di Europol;
c) formulare pareri non vincolanti sugli accordi di lavoro;
d) informare il direttore esecutivo in merito a eventuali violazioni dei diritti fondamentali nel corso delle attività di Europol;
e) promuovere il rispetto dei diritti fondamentali da parte di Europol durante lo svolgimento dei suoi compiti e delle sue attività;
f) svolgere qualsiasi altro compito, ove previsto dal presente regolamento.
3. Europol provvede affinché il responsabile dei diritti fondamentali non riceva alcuna istruzione per quanto riguarda l’esecuzione dei suoi compiti.
4. Il responsabile dei diritti fondamentali riferisce direttamente al direttore esecutivo e prepara relazioni annuali sulle sue attività, compreso il livello di rispetto dei diritti fondamentali da parte delle attività di Europol. Tali relazioni sono messe a disposizione del consiglio di amministrazione.
Art. 41 quinquies Formazione in materia di diritti fondamentali
Tutto il personale Europol coinvolto in compiti operativi che comportano il trattamento di dati personali riceve una formazione obbligatoria in materia di protezione dei diritti e delle libertà fondamentali, anche in relazione al trattamento dei dati personali. Tale formazione è organizzata in cooperazione con l’Agenzia dell’Unione europea per i diritti fondamentali (FRA), istituita dal regolamento (CE) n. 168/2007 del Consiglio14, e l’Agenzia dell’Unione europea per la formazione delle autorità di contrasto (CEPOL), istituita dal regolamento (UE) 2015/2219 del Parlamento europeo e del Consiglio15.
Art. 42 Vigilanza da parte delle autorità di controllo nazionali
1. Ai fini dell’esercizio della sua funzione di vigilanza, le autorità di controllo nazionale di cui all’articolo 41 della direttiva (UE) 2016/680 hanno accesso, presso i locali delle unità nazionali o degli ufficiali di collegamento, ai dati forniti dal loro Stato membro a Europol, secondo le procedure nazionali applicabili, nonché alle registrazioni di cui all’articolo 40 del presente regolamento.
2. Le autorità di controllo nazionali hanno accesso agli uffici e ai documenti dei rispettivi ufficiali di collegamento presso Europol.
3. Conformemente alle procedure nazionali applicabili, le autorità di controllo nazionali vigilano sulle attività svolte dalle unità nazionali e dagli ufficiali di collegamento, in quanto rilevanti per la protezione dei dati personali. Esse informano, inoltre, il GEPD delle azioni che intraprendono in relazione a Europol.
4. Chiunque ha diritto di chiedere all'autorità di controllo nazionale di verificare la liceità del trasferimento o della comunicazione a Europol, in qualsiasi forma, di dati che lo riguardano, e dell'accesso a tali dati da parte dello Stato membro interessato. Tale diritto è esercitato conformemente al diritto nazionale dello Stato membro in cui la domanda è presentata.
Art. 43 Vigilanza da parte del GEPD
1. Il GEPD ha il compito di sorvegliare e assicurare l’applicazione delle disposizioni del presente regolamento e del regolamento (UE) 2018/1725 relative alla tutela dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento di dati personali da parte di Europol, e di fornire a Europol e agli interessati pareri su tutte le questioni relative al trattamento dei dati personali. A tal fine esso assolve le funzioni previste al paragrafo 2 ed esercita i poteri stabiliti al paragrafo 3 agendo nel contempo in stretta cooperazione con le autorità di controllo nazionali ai sensi dell'articolo 44.
2. In applicazione del presente regolamento, il GEPD:
a) tratta i reclami e compie i relativi accertamenti, e ne comunica l'esito agli interessati entro un termine ragionevole;
b) svolge indagini di propria iniziativa o in seguito a un reclamo e ne comunica l'esito agli interessati entro un termine ragionevole;
c) sorveglia e garantisce l'applicazione da parte di Europol del presente regolamento e di qualsiasi altro atto dell'Unione relativo alla tutela delle persone fisiche con riguardo al trattamento dei dati personali;
d) consiglia Europol, di propria iniziativa o su richiesta, in ordine a qualsiasi argomento relativo al trattamento di dati personali, in particolare prima che adotti regolamentazioni interne relative alla tutela dei diritti e delle libertà fondamentali riguardo al trattamento di dati personali;
e) tiene un registro dei nuovi tipi di trattamento notificatigli ai sensi dell'articolo 39, paragrafo 1, e registrati a norma dell'articolo 39, paragrafo 4;
f) procede ad una consultazione preventiva sui trattamenti notificatigli.
3. Conformemente al presente regolamento, il GEPD può:
a) offrire consulenza agli interessati sull'esercizio dei loro diritti;
b) rivolgersi a Europol in caso di presunta violazione delle disposizioni sul trattamento dei dati personali e, all'occorrenza, presentare proposte volte a porre rimedio a tale violazione e a migliorare la protezione degli interessati;
c) ordinare che siano soddisfatte le richieste di esercizio di determinati diritti in relazione ai dati allorché dette richieste siano state respinte in violazione degli articoli 36 e 37;
d) rivolgere avvertimenti o moniti a Europol;
e) ordinare a Europol di effettuare la rettifica, la limitazione dell'accesso, la cancellazione o la distruzione dei dati personali che sono stati trattati in violazione delle disposizioni sul trattamento dei dati personali e la notificazione di misure ai terzi ai quali tali dati sono stati comunicati;
f) vietare a titolo provvisorio o definitivo i trattamenti da parte di Europol che violano le disposizioni sul trattamento dei dati personali;
g) rivolgersi a Europol e, se necessario, al Parlamento europeo, al Consiglio e alla Commissione;
h) adire la Corte di giustizia dell'Unione europea alle condizioni previste dal TFUE;
i) intervenire nelle cause dinanzi alla Corte di giustizia dell'Unione europea.
j) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti al presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;
k) ordinare la sospensione dei flussi di dati verso un destinatario in uno Stato membro, in un paese terzo o verso un’organizzazione internazionale;
l) infliggere una sanzione amministrativa pecuniaria in caso di inosservanza da parte di Europol di una delle misure di cui alle lettere c), e), f), j) e k) del presente paragrafo, in funzione delle circostanze di ogni singolo caso.
4. Il GEPD ha il potere di:
a) ottenere da Europol l'accesso a tutti i dati personali e a tutte le informazioni necessarie alle sue indagini;
b) accedere a tutti i locali in cui Europol svolge le sue attività se si può ragionevolmente supporre che in essi sia svolta un'attività in applicazione del presente regolamento.
5.
Il GEPD prepara un rapporto annuale sulle attività di vigilanza riguardanti Europol. Tale rapporto è parte integrante del rapporto annuale del GEPD di cui all’articolo 60 del regolamento (UE) 2018/1725.
Il GEPD invita le autorità di controllo nazionali a presentare osservazioni su tale parte del rapporto annuale prima che il rapporto annuale sia adottato dal GEPD. Il GEPD tiene nella massima considerazione tali osservazioni e fa riferimento a queste nel rapporto annuale.
La parte del rapporto annuale di cui al secondo comma include informazioni statistiche riguardanti i reclami, le indagini e gli accertamenti, nonché i trasferimenti di dati personali a paesi terzi e organizzazioni internazionali, i casi di consultazione preventiva del GEPD, e l’esercizio dei poteri stabiliti al paragrafo 3 del presente articolo.
6. Il GEPD, i funzionari e gli altri agenti addetti al segretariato del GEPD sono soggetti all'obbligo di riservatezza stabilito all'articolo 67, paragrafo 1.
Art. 44 Cooperazione tra il GEPD e le autorità di controllo nazionali
1. Il GEPD agisce in stretta cooperazione con le autorità di controllo nazionali riguardo a temi che richiedono un contributo nazionale, in particolare se il GEPD o un'autorità di controllo nazionale constata notevoli differenze tra le prassi degli Stati membri o trasferimenti potenzialmente illeciti nell'uso dei canali Europol per lo scambio di informazioni, o in relazione a questioni sollevate da una o più autorità di controllo nazionali sull'attuazione e sull'interpretazione del presente regolamento.
2.
Nei casi di cui al paragrafo 1, è assicurato il controllo coordinato a norma dell’articolo 62 del regolamento (UE) 2018/1725. Il GEPD si avvale delle competenze e dell’esperienza delle autorità di controllo nazionali nell’espletamento delle sue funzioni di cui all’articolo 43, paragrafo 2, del presente regolamento.
Tenuto debito conto dei principi di sussidiarietà e proporzionalità, nello svolgimento di ispezioni congiunte con il GEPD, i membri e il personale delle autorità di controllo nazionali hanno poteri equivalenti a quelli indicati all’articolo 43, paragrafo 4, del presente regolamento e sono vincolati da un obbligo equivalente a quello di cui all’articolo 43, paragrafo 6, del presente regolamento.
3. Il GEPD tiene pienamente informate le autorità di controllo nazionali relativamente a tutte le questioni che le riguardano direttamente o sono per loro altrimenti pertinenti. Su richiesta di una o più autorità di controllo nazionali, il GEPD le informa riguardo a questioni specifiche.
4. In casi riguardanti i dati provenienti da uno o più Stati membri, compresi i casi di cui all’articolo 47, paragrafo 2, il GEPD consulta le autorità di controllo nazionali interessate. Il GEPD non decide in merito agli ulteriori provvedimenti da adottare prima che tali autorità di controllo nazionali non gli abbiano comunicato il proprio parere, entro un termine specificato dal Garante, non inferiore a un mese e non superiore a tre mesi a decorrere da quando il GEPD consulta le autorità di controllo nazionali interessate. Il GEPD tiene nella massima considerazione le rispettive posizioni delle autorità di controllo nazionali interessate. Qualora non intenda seguire la posizione di un’autorità di controllo nazionale, il GEPD la informa in merito, giustifica la propria decisione e sottopone la questione all’esame del comitato europeo per la protezione dei dati.