Regolamento (UE) 2017/1939 del Consiglio del 12 ottobre 2017 relativo all’attuazione di una cooperazione rafforzata sull’istituzione della Procura europea («EPPO»)
Testo vigente
Art. 51 Distinzione tra diverse categorie di interessati
L’EPPO, se del caso e nella misura del possibile, opera una chiara distinzione tra i dati personali operativi delle diverse categorie di interessati, quali:
a) le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato;
b) le persone condannate per un reato;
c) le vittime di reato o le persone che alcuni fatti autorizzano a considerare potenziali vittime di reato; e
d) altre parti rispetto a un reato, quali le persone che potrebbero essere chiamate a testimoniare nel corso di indagini su reati o di procedimenti penali conseguenti, le persone che possono fornire informazioni su reati o le persone in contatto o collegate alle persone di cui alle lettere a) e b).
Art. 52 Distinzione tra i dati personali operativi e verifica della qualità dei dati personali
1. L’EPPO differenzia, nella misura del possibile, i dati personali operativi fondati su fatti da quelli fondati su valutazioni personali.
2. L’EPPO prende tutte le misure ragionevoli per garantire che i dati personali operativi inesatti, incompleti o non più aggiornati non siano trasmessi o resi disponibili. A tal fine, l’EPPO verifica, per quanto possibile, la qualità dei dati personali operativi prima che questi siano trasmessi o resi disponibili. Per quanto possibile, l’EPPO correda tutte le trasmissioni di dati personali operativi delle informazioni necessarie che consentono al destinatario di valutare il grado di esattezza, completezza e affidabilità dei dati personali operativi, e la misura in cui essi sono aggiornati.
3. Qualora risulti che sono stati trasmessi dati personali operativi inesatti o che sono stati trasmessi dati personali operativi illecitamente, il destinatario deve esserne informato quanto prima. In tal caso, i dati personali operativi devono essere rettificati o cancellati o il trattamento deve essere limitato a norma dell’articolo 61.
Art. 53 Condizioni di trattamento specifiche
1. Se richiesto dal presente regolamento, l’EPPO prevede condizioni specifiche di trattamento e informa il destinatario dei dati personali operativi di tali condizioni e dell’obbligo di rispettarle.
2. L’EPPO rispetta le condizioni di trattamento specifiche previste da un’autorità nazionale a norma dell’articolo 9, paragrafi 3 e 4, della direttiva (UE) 2016/680.
Art. 54 Trasmissione di dati personali operativi a istituzioni, organi, uffici e agenzie dell’Unione
1. Fatte salve eventuali ulteriori limitazioni ai sensi del presente regolamento, in particolare dell’articolo 53, l’EPPO trasmette dati personali operativi a un’altra istituzione, un altro organo o ufficio, o un’altra agenzia dell’Unione solo se i dati sono necessari per il legittimo esercizio delle funzioni rientranti nelle competenze di tale istituzione, organo, ufficio o agenzia dell’Unione.
2.
Se i dati personali operativi sono trasmessi su richiesta dell’altra istituzione, dell’altro organo o ufficio, o dell’altra agenzia dell’Unione, il titolare del trattamento e il destinatario sono entrambi responsabili della legittimità del trasferimento.
L’EPPO è tenuta a verificare la competenza dell’altra istituzione, dell’altro organo o ufficio, o dell’altra agenzia dell’Unione e ad effettuare una valutazione provvisoria della necessità della trasmissione dei dati personali operativi. Qualora emergano dubbi su tale necessità, l’EPPO chiede ulteriori spiegazioni al destinatario.
L’altra istituzione, l’altro organo o ufficio, o l’altra agenzia dell’Unione provvede a che si possa successivamente verificare la necessità della trasmissione dei dati personali operativi.
3. Nel procedere al trattamento dei dati personali l’altra istituzione, l’altro organo o ufficio, o l’altra agenzia dell’Unione persegue unicamente le finalità per cui questi sono stati trasmessi.
Art. 55 Trattamento di categorie particolari di dati personali operativi
1. Il trattamento di dati personali operativi che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati personali operativi relativi alla salute o di dati personali operativi relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario per le indagini dell’EPPO, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto se tali dati integrano altri dati personali operativi già trattati dall’EPPO.
2. Il responsabile della protezione dei dati è immediatamente informato del ricorso al presente articolo.
Art. 56 Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione
L’interessato ha il diritto di non essere sottoposto a una decisione dell’EPPO basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Art. 57 Comunicazioni e modalità per l’esercizio dei diritti dell’interessato
1. L’EPPO adotta misure ragionevoli per fornire all’interessato tutte le informazioni di cui all’articolo 58. Effettua le comunicazioni con riferimento agli articoli 56, da 59 a 62 e 75 relative al trattamento, in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Le informazioni sono fornite con qualsiasi mezzo adeguato, anche per via elettronica. Come regola generale, il titolare del trattamento fornisce le informazioni nella stessa forma della richiesta.
2. L’EPPO agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 58 a 62.
3. Senza indebito ritardo e in ogni caso entro tre mesi dal ricevimento della richiesta dell’interessato, l’EPPO informa quest’ultimo per iscritto in merito al seguito dato alla sua richiesta.
4.
L’EPPO provvede affinché le informazioni di cui all’articolo 58 ed eventuali comunicazioni effettuate o azioni intraprese ai sensi degli articoli 56, da 59 a 62 e 75 siano gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, l’EPPO può:
a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; o
b) rifiutare di soddisfare la richiesta.
Incombe all’EPPO l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
5. Qualora l’EPPO nutra ragionevoli dubbi circa l’identità della persona fisica che presenta una richiesta di cui agli articoli 59 o 61, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.
Art. 58 Informazioni da rendere disponibili o da fornire all’interessato
1. L’EPPO mette a disposizione dell’interessato almeno le informazioni seguenti:
a) l’identità e i dati di contatto dell’EPPO;
b) i dati di contatto del responsabile della protezione dei dati;
c) le finalità del trattamento cui sono destinati i dati personali operativi;
d) il diritto di proporre reclamo al garante europeo della protezione dei dati e i suoi dati di contatto;
e) l’esistenza del diritto dell’interessato di chiedere all’EPPO l’accesso ai dati personali operativi e la loro rettifica o cancellazione e la limitazione del trattamento dei dati personali operativi che lo riguardano.
2. In aggiunta alle informazioni di cui al paragrafo 1, l’EPPO fornisce all’interessato, in casi specifici, le ulteriori informazioni per consentire l’esercizio dei diritti dell’interessato seguenti:
a) la base giuridica per il trattamento;
b) il periodo di conservazione dei dati personali operativi oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
c) se del caso, le categorie di destinatari dei dati personali operativi, anche in paesi terzi o in seno a organizzazioni internazionali;
d) se necessario, ulteriori informazioni, in particolare nel caso in cui i dati personali operativi siano raccolti all’insaputa dell’interessato.
3. L’EPPO può ritardare, limitare o escludere la comunicazione di informazioni all’interessato ai sensi del paragrafo 2 nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
Art. 59 Diritto di accesso dell’interessato
L’interessato ha il diritto di ottenere dall’EPPO la conferma che sia o meno in corso un trattamento di dati personali operativi che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali operativi e alle informazioni seguenti:
a) le finalità e la base giuridica del trattamento;
b) le categorie di dati personali operativi in questione;
c) i destinatari o le categorie di destinatari a cui i dati personali operativi sono stati comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
d) quando possibile, il periodo di conservazione dei dati personali operativi previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
e) l’esistenza del diritto dell’interessato di chiedere all’EPPO la rettifica o cancellazione dei dati personali operativi o la limitazione del trattamento dei dati personali operativi che lo riguardano;
f) il diritto di proporre reclamo al garante europeo della protezione dei dati e le coordinate di contatto di quest’ultimo;
g) la comunicazione dei dati personali operativi oggetto del trattamento e di tutte le informazioni disponibili sulla loro origine.
Art. 60 Limitazioni del diritto di accesso
1. L’EPPO può limitare, in tutto o in parte, il diritto di accesso dell’interessato nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
2.
Qualora la fornitura di tali informazioni rischi di compromettere una delle finalità di cui al paragrafo 1, l’EPPO comunica all’interessato unicamente di avere svolto i controlli, senza fornire alcuna informazione che possa rivelargli se i dati personali operativi che lo riguardano siano trattati dall’EPPO o meno.
L’EPPO informa l’interessato della possibilità di proporre reclamo al garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione dell’EPPO.
3. L’EPPO documenta i motivi di fatto o di diritto su cui si basa la decisione. Tali informazioni sono messe a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 61 Diritto di rettifica o cancellazione di dati personali operativi e limitazione di trattamento
1. L’interessato ha il diritto di ottenere dall’EPPO la rettifica dei dati personali operativi inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali operativi incompleti, anche fornendo una dichiarazione integrativa.
2. L’EPPO cancella senza ingiustificato ritardo i dati personali operativi e l’interessato ha il diritto di ottenere dall’EPPO, senza ingiustificato ritardo, la cancellazione dei dati personali operativi che lo riguardano qualora il trattamento violi gli articoli 47, 49 o 55 oppure qualora i dati personali operativi debbano essere cancellati per adempiere un obbligo legale al quale è soggetta l’EPPO.
3.
Anziché procedere alla cancellazione, l’EPPO limita il trattamento quando:
a) l’esattezza dei dati personali operativi è contestata dall’interessato e la loro esattezza o inesattezza non può essere accertata; o
b) i dati personali operativi devono essere conservati a fini probatori.
Quando il trattamento è limitato a norma della lettera a), primo comma, l’EPPO informa l’interessato prima di revocare la limitazione del trattamento.
4. Se il trattamento è limitato a norma del paragrafo 3, tali dati personali operativi sono trattati, salvo che per la conservazione, soltanto per tutelare i diritti dell’interessato o di un’altra persona fisica o giuridica che è parte del procedimento dell’EPPO o per le finalità di cui al paragrafo 3, lettera b).
5.
L’EPPO informa per iscritto l’interessato dell’eventuale rifiuto di rettifica o cancellazione dei dati personali operativi o limitazione del trattamento e dei motivi del rifiuto. L’EPPO può limitare, in tutto o in parte, l’obbligo di fornire tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
L’EPPO informa l’interessato della possibilità di proporre reclamo al garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione dell’EPPO.
6. L’EPPO comunica le rettifiche dei dati personali operativi inesatti all’autorità competente da cui i dati personali operativi inesatti provengono.
7. L’EPPO, qualora i dati personali operativi siano stati rettificati o cancellati o il trattamento sia stato limitato a norma dei paragrafi 1, 2 e 3, ne informa i destinatari, comunicando loro che devono rettificare o cancellare i dati personali operativi o limitare il trattamento dei dati personali operativi sotto la propria responsabilità.
Art. 62 Esercizio dei diritti dell’interessato e verifica da parte del garante europeo della protezione dei dati
1. Nei casi di cui all’articolo 58, paragrafo 3, all’articolo 60, paragrafo 2, e all’articolo 61, paragrafo 5, i diritti dell’interessato possono essere esercitati anche tramite il garante europeo della protezione dei dati.
2. L’EPPO informa l’interessato della possibilità di esercitare i suoi diritti tramite il garante europeo della protezione dei dati ai sensi del paragrafo 1.
3. Qualora sia esercitato il diritto di cui al paragrafo 1, il garante europeo della protezione dei dati informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. Il garante europeo della protezione dei dati informa l’interessato del suo diritto di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione del garante europeo della protezione dei dati.
Art. 63 Obblighi dell’EPPO
1. Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, l’EPPO mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte dell’EPPO.
Art. 64 Contitolari del trattamento
1. Allorché l’EPPO insieme a uno o più titolari del trattamento determinino congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza dei loro obblighi in materia di protezione dei dati, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dal diritto di uno Stato membro dell’Unione europea cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.
2. L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.
3. Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.
Art. 65 Responsabile del trattamento
1. Qualora un trattamento debba essere effettuato per conto dell’EPPO, quest’ultima ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.
2. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, dell’EPPO. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa l’EPPO di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.
3. I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione, o del diritto di uno Stato membro dell’Unione europea, che vincoli il responsabile del trattamento all’EPPO e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali operativi e le categorie di interessati, gli obblighi e i diritti dell’EPPO. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:
a) agisca soltanto su istruzione del titolare del trattamento;
b) garantisca che le persone autorizzate al trattamento dei dati personali operativi si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
c) assista il titolare del trattamento con ogni mezzo adeguato per garantire la conformità con le disposizioni relative ai diritti dell’interessato;
d) su scelta dell’EPPO, cancelli o le restituisca tutti i dati personali operativi dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o il diritto di uno Stato membro dell’Unione europea preveda la conservazione dei dati personali operativi;
e) metta a disposizione dell’EPPO tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo;
f) rispetti le condizioni di cui ai paragrafi 2 e 3 per ricorrere a un altro responsabile del trattamento.
4. Il contratto o altro atto giuridico di cui al paragrafo 3 è stipulato in forma scritta, anche in formato elettronico.
5. Se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.
Art. 66 Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento
Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella dell’EPPO, che abbia accesso a dati personali operativi non può trattare tali dati se non è istruito in tal senso dall’EPPO, salvo che lo richieda il diritto dell’Unione o il diritto di uno Stato membro dell’Unione europea.
Art. 67 Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita
1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, l’EPPO mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
2. L’EPPO mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali operativi adeguati, pertinenti e non eccedenti rispetto alle finalità per i quali sono trattati. Tale obbligo vale per la quantità dei dati personali operativi raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali operativi a un numero indefinito di persone fisiche senza l’intervento della persona fisica.
Art. 68 Registro delle categorie di attività di trattamento
1. L’EPPO tiene un registro di tutte le categorie di attività di trattamento sotto la propria responsabilità. Tale registro contiene tutte le informazioni seguenti:
a) i suoi dati di contatto e il nome e i dati di contatto del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali operativi;
d) le categorie di destinatari a cui i dati personali operativi sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali operativi verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 73.
2. Il registro di cui al paragrafo 1 è tenuto in forma scritta, anche in formato elettronico.
3. L’EPPO mette il registro a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 69 Registrazione per il trattamento automatizzato
1. L’EPPO registra nei sistemi di trattamento automatizzato le operazioni seguenti: raccolta, modifica, consultazione, comunicazione, inclusi i trasferimenti, interconnessione e cancellazione di dati personali operativi usati a fini operativi. Le registrazioni delle consultazioni e delle comunicazioni consentono di stabilire la motivazione, la data e l’ora di tali operazioni, di identificare la persona che ha consultato o comunicato i dati personali operativi, nonché, nella misura del possibile, di stabilire l’identità dei destinatari di tali dati personali operativi.
2. Le registrazioni sono usate ai soli fini della verifica della liceità del trattamento, dell’autocontrollo, per garantire l’integrità e la sicurezza dei dati personali operativi e nell’ambito di procedimenti penali. Le registrazioni sono cancellate dopo tre anni, salvo se sono necessarie per un controllo in corso.
3. L’EPPO mette le registrazioni a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 70 Cooperazione con il garante europeo della protezione dei dati
L’EPPO, su richiesta, coopera con il garante europeo della protezione dei dati nell’esecuzione dei suoi compiti.
Art. 71 Valutazione d’impatto sulla protezione dei dati
1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’ambito di applicazione, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’EPPO effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali.
2. La valutazione di cui al paragrafo 1 contiene almeno una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali operativi e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.