Regolamento (UE) 2017/1939 del Consiglio del 12 ottobre 2017 relativo all’attuazione di una cooperazione rafforzata sull’istituzione della Procura europea («EPPO»)
Testo vigente
Capo VII. Trattamento delle informazioni
Art. 43 Accesso dell’EPPO alle informazioni
1. I procuratori europei delegati possono esigere, alle stesse condizioni applicate ai sensi del diritto nazionale in casi analoghi, qualunque informazione pertinente dalle banche dati nazionali relative alle indagini penali e all’attività di contrasto o da altro registro pertinente delle autorità pubbliche.
2. L’EPPO può inoltre esigere qualunque informazione pertinente rientrante nella sua competenza e conservata nelle banche dati e nei registri delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione.
Art. 44 Sistema automatico di gestione dei fascicoli
1. L’EPPO istituisce un sistema automatico di gestione dei fascicoli tenuto e gestito conformemente alle norme di cui al presente regolamento e al regolamento interno dell’EPPO.
2. Il sistema automatico di gestione dei fascicoli è volto a:
a) prestare sostegno alla gestione delle indagini e delle azioni penali promosse dall’EPPO, in particolare tramite la gestione dei flussi di lavoro interni relativi alle informazioni e il sostegno alle attività investigative nei casi transfrontalieri;
b) garantire un accesso sicuro alle informazioni sulle indagini e le azioni penali presso l’ufficio centrale e ai procuratori europei delegati;
c) consentire il controllo incrociato delle informazioni e l’estrazione di dati per le analisi operative e a scopi statistici;
d) agevolare il controllo per garantire che il trattamento dei dati personali operativi sia lecito e conforme alle disposizioni pertinenti del presente regolamento.
3. Il sistema automatico di gestione dei fascicoli può essere collegato alla rete di telecomunicazioni protetta di cui all’articolo 9 della decisione 2008/976/GAI del Consiglio5.
4.
Il sistema automatico di gestione dei fascicoli contiene:
a) un registro delle informazioni ottenute dall’EPPO ai sensi dell’articolo 24, nonché eventuali decisioni relative a tali informazioni;
b) un indice di tutti i fascicoli;
c) tutte le informazioni dei fascicoli archiviate in forma elettronica nel sistema automatico di gestione dei fascicoli ai sensi dell’articolo 45, paragrafo 3.
L’indice non contiene dati personali operativi diversi dai dati necessari a identificare i casi o a stabilire le correlazioni tra i diversi fascicoli.
5. Per il trattamento dei dati personali operativi, l’EPPO può esclusivamente istituire archivi automatizzati diversi dai fascicoli a norma del presente regolamento e del regolamento interno dell’EPPO. I dettagli relativi a tali archivi automatizzati di altro tipo sono notificati al garante europeo della protezione dei dati.
Art. 45 Fascicoli dell’EPPO
1.
Quando l’EPPO decide di avviare un’indagine o esercitare il proprio diritto di avocazione a norma del presente regolamento, il procuratore europeo delegato incaricato del caso apre un fascicolo.
Il fascicolo contiene tutte le informazioni e le prove a disposizione del procuratore europeo delegato relative a un’indagine o azione penale dell’EPPO.
Una volta aperta l’indagine, le informazioni del registro di cui all’articolo 44, paragrafo 4, lettera a), diventano parte del fascicolo.
2.
Il fascicolo è gestito dal procuratore europeo delegato incaricato del caso conformemente al diritto del suo Stato membro.
Il regolamento interno dell’EPPO può includere norme relative all’organizzazione e gestione dei fascicoli nella misura necessaria a garantire il funzionamento dell’EPPO quale ufficio unico. L’accesso al fascicolo da parte degli indagati e imputati nonché di altre persone coinvolte in un procedimento è concesso dal procuratore europeo delegato incaricato del caso conformemente al diritto dello Stato membro del procuratore.
3. Il sistema automatico di gestione dei fascicoli dell’EPPO include tutte le informazioni e le prove del fascicolo che possono essere archiviate in forma elettronica, al fine di permettere all’ufficio centrale di esercitare le proprie funzioni a norma del presente regolamento. Il procuratore europeo delegato incaricato del caso garantisce che il contenuto delle informazioni presenti nel sistema automatico di gestione dei fascicoli rispecchi in ogni momento il fascicolo, in particolare che i dati personali operativi contenuti nel sistema automatico di gestione dei fascicoli siano cancellati o rettificati quando tali dati sono stati cancellati o rettificati nel fascicolo corrispondente.
Art. 46 Accesso al sistema di gestione dei fascicoli
Il procuratore capo europeo, i sostituti del procuratore capo europeo, gli altri procuratori europei e i procuratori europei delegati hanno accesso diretto al registro e all’indice.
Il procuratore europeo incaricato della supervisione nonché la camera permanente competente, quando esercitano le loro competenze a norma degli articoli 10 e 12, hanno accesso diretto alle informazioni archiviate in forma elettronica nel sistema di gestione dei fascicoli. Il procuratore europeo incaricato della supervisione ha anche accesso diretto al fascicolo. La camera permanente competente ha accesso al fascicolo su richiesta.
Gli altri procuratori europei delegati possono richiedere l’accesso alle informazioni archiviate in forma elettronica nel sistema di gestione dei fascicoli nonché a ogni fascicolo. Il procuratore europeo delegato incaricato del caso decide se concedere tale accesso agli altri procuratori europei delegati conformemente al diritto nazionale applicabile. Se l’accesso non è concesso, la questione può essere sottoposta alla camera permanente competente. La camera permanente competente sente, nella misura necessaria, i procuratori europei delegati interessati e successivamente decide conformemente al diritto nazionale applicabile e al presente regolamento.
Il regolamento interno dell’EPPO stabilisce ulteriori norme relative al diritto di accesso, nonché la procedura per la determinazione del livello di accesso al sistema di gestione dei fascicoli di cui godono il procuratore capo europeo, i sostituti del procuratore capo europeo, gli altri procuratori europei, i procuratori europei delegati e il personale dell’EPPO, nella misura necessaria all’esercizio delle loro funzioni.
Capo VIII. Protezione dei dati
Art. 47 Principi relativi al trattamento di dati personali
1. I dati personali sono:
a) trattati in modo lecito e corretto («liceità e correttezza»);
b) raccolti per finalità determinate, esplicite e legittime e successivamente trattati in modo non incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è considerato incompatibile con le finalità iniziali, purché l’EPPO fornisca garanzie adeguate per i diritti e le libertà degli interessati («limitazione delle finalità»);
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);
d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»);
e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, purché l’EPPO fornisca garanzie adeguate per i diritti e le libertà degli interessati, in particolare mediante l’attuazione delle misure tecniche e organizzative adeguate richieste dal presente regolamento («limitazione della conservazione»);
f) trattati in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).
2. L’EPPO è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione») in caso di trattamento interamente o parzialmente automatizzato di dati personali e in caso di trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.
3. Il trattamento da parte dell’EPPO per una qualsiasi delle finalità di cui all’articolo 49, diversa da quella per cui sono raccolti i dati personali operativi, è consentito nella misura in cui:
a) l’EPPO è autorizzata a trattare tali dati personali operativi per detta finalità conformemente al presente regolamento; e
b) il trattamento è necessario e proporzionato a tale altra finalità conformemente al diritto dell’Unione; e
c) se del caso, l’utilizzo dei dati personali operativi non è vietato dal diritto processuale nazionale applicabile alle misure investigative adottate a norma dell’articolo 30. Il diritto processuale nazionale applicabile è il diritto dello Stato membro in cui sono stati ottenuti i dati.
Art. 48 Dati personali amministrativi
1. A tutti i dati personali amministrativi trattati dall’EPPO si applica il regolamento (CE) n. 45/2001.
2. L’EPPO stabilisce i termini per la conservazione dei dati personali amministrativi nelle disposizioni sulla protezione dei dati del proprio regolamento interno.
Art. 49 Trattamento dei dati personali operativi
1. L’EPPO tratta i dati personali operativi con procedimenti automatizzati o in casellari manuali strutturati in conformità del presente regolamento e solo per le finalità seguenti:
a) svolgimento di indagini penali e dell’azione penale ai sensi del presente regolamento; o
b) scambio di informazioni con le autorità competenti degli Stati membri dell’Unione europea e altri istituzioni, organi, uffici e agenzie dell’Unione ai sensi del presente regolamento; o
c) cooperazione con paesi terzi e organizzazioni internazionali ai sensi del presente regolamento.
2. Le categorie di dati personali operativi e le categorie di interessati i cui dati personali possono essere trattati nell’indice di cui all’articolo 44, paragrafo 4, lettera b), dall’EPPO per ciascuna finalità di cui al paragrafo 1 del presente articolo sono indicate in un allegato in conformità del paragrafo 3.
3.
Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 115 al fine di elencare le categorie di dati personali seguenti e le categorie di interessati di cui al paragrafo 2 del presente articolo, nonché di aggiornare tale elenco per tener conto degli sviluppi delle tecnologie dell’informazione e dei progressi della società dell’informazione.
Qualora motivi imperativi di urgenza lo richiedano, la procedura di cui all’articolo 116 si applica agli atti delegati adottati ai sensi del presente paragrafo.
4. L’EPPO può trattare temporaneamente i dati personali operativi al fine di stabilire se essi siano pertinenti ai suoi compiti e per quale delle finalità di cui al paragrafo 1. Agendo su proposta del procuratore capo europeo e previa consultazione del Garante europeo della protezione dei dati, il collegio precisa ulteriormente le condizioni relative al trattamento di tali dati personali, in particolare per quanto riguarda l’accesso ai dati e il relativo utilizzo, nonché i termini per la loro conservazione e cancellazione.
5. L’EPPO tratta i dati personali operativi in modo che sia possibile individuare l’autorità che li ha forniti o i sistemi da cui sono stati ottenuti.
6. Quando applica gli articoli da 57 a 62, l’EPPO, se del caso, agisce in conformità del diritto processuale nazionale per quanto riguarda l’obbligo di fornire informazioni all’interessato e alla possibilità di escludere, limitare o ritardare tali informazioni. Se del caso, il procuratore europeo delegato consulta altri procuratori europei delegati interessati dal caso, prima di adottare una decisione riguardo agli articoli da 57 a 62.
Art. 50 Termini per la conservazione dei dati personali operativi
1. L’EPPO verifica periodicamente la necessità di conservare i dati personali operativi trattati. Al più tardi, tale verifica è effettuata al massimo tre anni dopo il primo trattamento dei dati personali operativi e successivamente ogni tre anni. Se i dati personali operativi sono conservati per più di cinque anni, ne è informato il garante europeo della protezione dei dati.
2. I dati personali operativi trattati dall’EPPO non sono conservati oltre cinque anni a decorrere dal momento in cui è diventata definitiva una decisione di assoluzione nell’ambito di un caso; qualora l’imputato sia stato condannato, i termini sono prorogati fino a che la sanzione irrogata venga eseguita o non possa più essere eseguita secondo il diritto dello Stato membro di condanna.
3. Prima che scada uno dei termini di cui al paragrafo 2, l’EPPO verifica la necessità di continuare a conservare i dati personali operativi se e per il tempo necessario all’espletamento dei suoi compiti. I motivi dell’ulteriore conservazione devono essere giustificati e registrati. Se non è deciso nulla in merito all’ulteriore conservazione dei dati personali operativi, questi sono automaticamente cancellati.
Art. 51 Distinzione tra diverse categorie di interessati
L’EPPO, se del caso e nella misura del possibile, opera una chiara distinzione tra i dati personali operativi delle diverse categorie di interessati, quali:
a) le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato;
b) le persone condannate per un reato;
c) le vittime di reato o le persone che alcuni fatti autorizzano a considerare potenziali vittime di reato; e
d) altre parti rispetto a un reato, quali le persone che potrebbero essere chiamate a testimoniare nel corso di indagini su reati o di procedimenti penali conseguenti, le persone che possono fornire informazioni su reati o le persone in contatto o collegate alle persone di cui alle lettere a) e b).
Art. 52 Distinzione tra i dati personali operativi e verifica della qualità dei dati personali
1. L’EPPO differenzia, nella misura del possibile, i dati personali operativi fondati su fatti da quelli fondati su valutazioni personali.
2. L’EPPO prende tutte le misure ragionevoli per garantire che i dati personali operativi inesatti, incompleti o non più aggiornati non siano trasmessi o resi disponibili. A tal fine, l’EPPO verifica, per quanto possibile, la qualità dei dati personali operativi prima che questi siano trasmessi o resi disponibili. Per quanto possibile, l’EPPO correda tutte le trasmissioni di dati personali operativi delle informazioni necessarie che consentono al destinatario di valutare il grado di esattezza, completezza e affidabilità dei dati personali operativi, e la misura in cui essi sono aggiornati.
3. Qualora risulti che sono stati trasmessi dati personali operativi inesatti o che sono stati trasmessi dati personali operativi illecitamente, il destinatario deve esserne informato quanto prima. In tal caso, i dati personali operativi devono essere rettificati o cancellati o il trattamento deve essere limitato a norma dell’articolo 61.
Art. 53 Condizioni di trattamento specifiche
1. Se richiesto dal presente regolamento, l’EPPO prevede condizioni specifiche di trattamento e informa il destinatario dei dati personali operativi di tali condizioni e dell’obbligo di rispettarle.
2. L’EPPO rispetta le condizioni di trattamento specifiche previste da un’autorità nazionale a norma dell’articolo 9, paragrafi 3 e 4, della direttiva (UE) 2016/680.
Art. 54 Trasmissione di dati personali operativi a istituzioni, organi, uffici e agenzie dell’Unione
1. Fatte salve eventuali ulteriori limitazioni ai sensi del presente regolamento, in particolare dell’articolo 53, l’EPPO trasmette dati personali operativi a un’altra istituzione, un altro organo o ufficio, o un’altra agenzia dell’Unione solo se i dati sono necessari per il legittimo esercizio delle funzioni rientranti nelle competenze di tale istituzione, organo, ufficio o agenzia dell’Unione.
2.
Se i dati personali operativi sono trasmessi su richiesta dell’altra istituzione, dell’altro organo o ufficio, o dell’altra agenzia dell’Unione, il titolare del trattamento e il destinatario sono entrambi responsabili della legittimità del trasferimento.
L’EPPO è tenuta a verificare la competenza dell’altra istituzione, dell’altro organo o ufficio, o dell’altra agenzia dell’Unione e ad effettuare una valutazione provvisoria della necessità della trasmissione dei dati personali operativi. Qualora emergano dubbi su tale necessità, l’EPPO chiede ulteriori spiegazioni al destinatario.
L’altra istituzione, l’altro organo o ufficio, o l’altra agenzia dell’Unione provvede a che si possa successivamente verificare la necessità della trasmissione dei dati personali operativi.
3. Nel procedere al trattamento dei dati personali l’altra istituzione, l’altro organo o ufficio, o l’altra agenzia dell’Unione persegue unicamente le finalità per cui questi sono stati trasmessi.
Art. 55 Trattamento di categorie particolari di dati personali operativi
1. Il trattamento di dati personali operativi che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati personali operativi relativi alla salute o di dati personali operativi relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario per le indagini dell’EPPO, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto se tali dati integrano altri dati personali operativi già trattati dall’EPPO.
2. Il responsabile della protezione dei dati è immediatamente informato del ricorso al presente articolo.
Art. 56 Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione
L’interessato ha il diritto di non essere sottoposto a una decisione dell’EPPO basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Art. 57 Comunicazioni e modalità per l’esercizio dei diritti dell’interessato
1. L’EPPO adotta misure ragionevoli per fornire all’interessato tutte le informazioni di cui all’articolo 58. Effettua le comunicazioni con riferimento agli articoli 56, da 59 a 62 e 75 relative al trattamento, in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Le informazioni sono fornite con qualsiasi mezzo adeguato, anche per via elettronica. Come regola generale, il titolare del trattamento fornisce le informazioni nella stessa forma della richiesta.
2. L’EPPO agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 58 a 62.
3. Senza indebito ritardo e in ogni caso entro tre mesi dal ricevimento della richiesta dell’interessato, l’EPPO informa quest’ultimo per iscritto in merito al seguito dato alla sua richiesta.
4.
L’EPPO provvede affinché le informazioni di cui all’articolo 58 ed eventuali comunicazioni effettuate o azioni intraprese ai sensi degli articoli 56, da 59 a 62 e 75 siano gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, l’EPPO può:
a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; o
b) rifiutare di soddisfare la richiesta.
Incombe all’EPPO l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
5. Qualora l’EPPO nutra ragionevoli dubbi circa l’identità della persona fisica che presenta una richiesta di cui agli articoli 59 o 61, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.
Art. 58 Informazioni da rendere disponibili o da fornire all’interessato
1. L’EPPO mette a disposizione dell’interessato almeno le informazioni seguenti:
a) l’identità e i dati di contatto dell’EPPO;
b) i dati di contatto del responsabile della protezione dei dati;
c) le finalità del trattamento cui sono destinati i dati personali operativi;
d) il diritto di proporre reclamo al garante europeo della protezione dei dati e i suoi dati di contatto;
e) l’esistenza del diritto dell’interessato di chiedere all’EPPO l’accesso ai dati personali operativi e la loro rettifica o cancellazione e la limitazione del trattamento dei dati personali operativi che lo riguardano.
2. In aggiunta alle informazioni di cui al paragrafo 1, l’EPPO fornisce all’interessato, in casi specifici, le ulteriori informazioni per consentire l’esercizio dei diritti dell’interessato seguenti:
a) la base giuridica per il trattamento;
b) il periodo di conservazione dei dati personali operativi oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
c) se del caso, le categorie di destinatari dei dati personali operativi, anche in paesi terzi o in seno a organizzazioni internazionali;
d) se necessario, ulteriori informazioni, in particolare nel caso in cui i dati personali operativi siano raccolti all’insaputa dell’interessato.
3. L’EPPO può ritardare, limitare o escludere la comunicazione di informazioni all’interessato ai sensi del paragrafo 2 nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
Art. 59 Diritto di accesso dell’interessato
L’interessato ha il diritto di ottenere dall’EPPO la conferma che sia o meno in corso un trattamento di dati personali operativi che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali operativi e alle informazioni seguenti:
a) le finalità e la base giuridica del trattamento;
b) le categorie di dati personali operativi in questione;
c) i destinatari o le categorie di destinatari a cui i dati personali operativi sono stati comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
d) quando possibile, il periodo di conservazione dei dati personali operativi previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
e) l’esistenza del diritto dell’interessato di chiedere all’EPPO la rettifica o cancellazione dei dati personali operativi o la limitazione del trattamento dei dati personali operativi che lo riguardano;
f) il diritto di proporre reclamo al garante europeo della protezione dei dati e le coordinate di contatto di quest’ultimo;
g) la comunicazione dei dati personali operativi oggetto del trattamento e di tutte le informazioni disponibili sulla loro origine.
Art. 60 Limitazioni del diritto di accesso
1. L’EPPO può limitare, in tutto o in parte, il diritto di accesso dell’interessato nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
2.
Qualora la fornitura di tali informazioni rischi di compromettere una delle finalità di cui al paragrafo 1, l’EPPO comunica all’interessato unicamente di avere svolto i controlli, senza fornire alcuna informazione che possa rivelargli se i dati personali operativi che lo riguardano siano trattati dall’EPPO o meno.
L’EPPO informa l’interessato della possibilità di proporre reclamo al garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione dell’EPPO.
3. L’EPPO documenta i motivi di fatto o di diritto su cui si basa la decisione. Tali informazioni sono messe a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 61 Diritto di rettifica o cancellazione di dati personali operativi e limitazione di trattamento
1. L’interessato ha il diritto di ottenere dall’EPPO la rettifica dei dati personali operativi inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali operativi incompleti, anche fornendo una dichiarazione integrativa.
2. L’EPPO cancella senza ingiustificato ritardo i dati personali operativi e l’interessato ha il diritto di ottenere dall’EPPO, senza ingiustificato ritardo, la cancellazione dei dati personali operativi che lo riguardano qualora il trattamento violi gli articoli 47, 49 o 55 oppure qualora i dati personali operativi debbano essere cancellati per adempiere un obbligo legale al quale è soggetta l’EPPO.
3.
Anziché procedere alla cancellazione, l’EPPO limita il trattamento quando:
a) l’esattezza dei dati personali operativi è contestata dall’interessato e la loro esattezza o inesattezza non può essere accertata; o
b) i dati personali operativi devono essere conservati a fini probatori.
Quando il trattamento è limitato a norma della lettera a), primo comma, l’EPPO informa l’interessato prima di revocare la limitazione del trattamento.
4. Se il trattamento è limitato a norma del paragrafo 3, tali dati personali operativi sono trattati, salvo che per la conservazione, soltanto per tutelare i diritti dell’interessato o di un’altra persona fisica o giuridica che è parte del procedimento dell’EPPO o per le finalità di cui al paragrafo 3, lettera b).
5.
L’EPPO informa per iscritto l’interessato dell’eventuale rifiuto di rettifica o cancellazione dei dati personali operativi o limitazione del trattamento e dei motivi del rifiuto. L’EPPO può limitare, in tutto o in parte, l’obbligo di fornire tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
L’EPPO informa l’interessato della possibilità di proporre reclamo al garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione dell’EPPO.
6. L’EPPO comunica le rettifiche dei dati personali operativi inesatti all’autorità competente da cui i dati personali operativi inesatti provengono.
7. L’EPPO, qualora i dati personali operativi siano stati rettificati o cancellati o il trattamento sia stato limitato a norma dei paragrafi 1, 2 e 3, ne informa i destinatari, comunicando loro che devono rettificare o cancellare i dati personali operativi o limitare il trattamento dei dati personali operativi sotto la propria responsabilità.
Art. 62 Esercizio dei diritti dell’interessato e verifica da parte del garante europeo della protezione dei dati
1. Nei casi di cui all’articolo 58, paragrafo 3, all’articolo 60, paragrafo 2, e all’articolo 61, paragrafo 5, i diritti dell’interessato possono essere esercitati anche tramite il garante europeo della protezione dei dati.
2. L’EPPO informa l’interessato della possibilità di esercitare i suoi diritti tramite il garante europeo della protezione dei dati ai sensi del paragrafo 1.
3. Qualora sia esercitato il diritto di cui al paragrafo 1, il garante europeo della protezione dei dati informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. Il garante europeo della protezione dei dati informa l’interessato del suo diritto di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione del garante europeo della protezione dei dati.
Art. 63 Obblighi dell’EPPO
1. Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, l’EPPO mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte dell’EPPO.