Regolamento (UE) 2017/1939 del Consiglio del 12 ottobre 2017 relativo all’attuazione di una cooperazione rafforzata sull’istituzione della Procura europea («EPPO»)
Testo vigente
Art. 61 Diritto di rettifica o cancellazione di dati personali operativi e limitazione di trattamento
1. L’interessato ha il diritto di ottenere dall’EPPO la rettifica dei dati personali operativi inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali operativi incompleti, anche fornendo una dichiarazione integrativa.
2. L’EPPO cancella senza ingiustificato ritardo i dati personali operativi e l’interessato ha il diritto di ottenere dall’EPPO, senza ingiustificato ritardo, la cancellazione dei dati personali operativi che lo riguardano qualora il trattamento violi gli articoli 47, 49 o 55 oppure qualora i dati personali operativi debbano essere cancellati per adempiere un obbligo legale al quale è soggetta l’EPPO.
3.
Anziché procedere alla cancellazione, l’EPPO limita il trattamento quando:
a) l’esattezza dei dati personali operativi è contestata dall’interessato e la loro esattezza o inesattezza non può essere accertata; o
b) i dati personali operativi devono essere conservati a fini probatori.
Quando il trattamento è limitato a norma della lettera a), primo comma, l’EPPO informa l’interessato prima di revocare la limitazione del trattamento.
4. Se il trattamento è limitato a norma del paragrafo 3, tali dati personali operativi sono trattati, salvo che per la conservazione, soltanto per tutelare i diritti dell’interessato o di un’altra persona fisica o giuridica che è parte del procedimento dell’EPPO o per le finalità di cui al paragrafo 3, lettera b).
5.
L’EPPO informa per iscritto l’interessato dell’eventuale rifiuto di rettifica o cancellazione dei dati personali operativi o limitazione del trattamento e dei motivi del rifiuto. L’EPPO può limitare, in tutto o in parte, l’obbligo di fornire tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata, al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica degli Stati membri dell’Unione europea;
d) proteggere la sicurezza nazionale degli Stati membri dell’Unione europea;
e) proteggere i diritti e le libertà altrui.
L’EPPO informa l’interessato della possibilità di proporre reclamo al garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione dell’EPPO.
6. L’EPPO comunica le rettifiche dei dati personali operativi inesatti all’autorità competente da cui i dati personali operativi inesatti provengono.
7. L’EPPO, qualora i dati personali operativi siano stati rettificati o cancellati o il trattamento sia stato limitato a norma dei paragrafi 1, 2 e 3, ne informa i destinatari, comunicando loro che devono rettificare o cancellare i dati personali operativi o limitare il trattamento dei dati personali operativi sotto la propria responsabilità.
Art. 62 Esercizio dei diritti dell’interessato e verifica da parte del garante europeo della protezione dei dati
1. Nei casi di cui all’articolo 58, paragrafo 3, all’articolo 60, paragrafo 2, e all’articolo 61, paragrafo 5, i diritti dell’interessato possono essere esercitati anche tramite il garante europeo della protezione dei dati.
2. L’EPPO informa l’interessato della possibilità di esercitare i suoi diritti tramite il garante europeo della protezione dei dati ai sensi del paragrafo 1.
3. Qualora sia esercitato il diritto di cui al paragrafo 1, il garante europeo della protezione dei dati informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. Il garante europeo della protezione dei dati informa l’interessato del suo diritto di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia nei confronti della decisione del garante europeo della protezione dei dati.
Art. 63 Obblighi dell’EPPO
1. Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, l’EPPO mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte dell’EPPO.
Art. 64 Contitolari del trattamento
1. Allorché l’EPPO insieme a uno o più titolari del trattamento determinino congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza dei loro obblighi in materia di protezione dei dati, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dal diritto di uno Stato membro dell’Unione europea cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.
2. L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.
3. Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.
Art. 65 Responsabile del trattamento
1. Qualora un trattamento debba essere effettuato per conto dell’EPPO, quest’ultima ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.
2. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, dell’EPPO. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa l’EPPO di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.
3. I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione, o del diritto di uno Stato membro dell’Unione europea, che vincoli il responsabile del trattamento all’EPPO e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali operativi e le categorie di interessati, gli obblighi e i diritti dell’EPPO. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:
a) agisca soltanto su istruzione del titolare del trattamento;
b) garantisca che le persone autorizzate al trattamento dei dati personali operativi si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
c) assista il titolare del trattamento con ogni mezzo adeguato per garantire la conformità con le disposizioni relative ai diritti dell’interessato;
d) su scelta dell’EPPO, cancelli o le restituisca tutti i dati personali operativi dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o il diritto di uno Stato membro dell’Unione europea preveda la conservazione dei dati personali operativi;
e) metta a disposizione dell’EPPO tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo;
f) rispetti le condizioni di cui ai paragrafi 2 e 3 per ricorrere a un altro responsabile del trattamento.
4. Il contratto o altro atto giuridico di cui al paragrafo 3 è stipulato in forma scritta, anche in formato elettronico.
5. Se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.
Art. 66 Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento
Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella dell’EPPO, che abbia accesso a dati personali operativi non può trattare tali dati se non è istruito in tal senso dall’EPPO, salvo che lo richieda il diritto dell’Unione o il diritto di uno Stato membro dell’Unione europea.
Art. 67 Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita
1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, l’EPPO mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
2. L’EPPO mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali operativi adeguati, pertinenti e non eccedenti rispetto alle finalità per i quali sono trattati. Tale obbligo vale per la quantità dei dati personali operativi raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali operativi a un numero indefinito di persone fisiche senza l’intervento della persona fisica.
Art. 68 Registro delle categorie di attività di trattamento
1. L’EPPO tiene un registro di tutte le categorie di attività di trattamento sotto la propria responsabilità. Tale registro contiene tutte le informazioni seguenti:
a) i suoi dati di contatto e il nome e i dati di contatto del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali operativi;
d) le categorie di destinatari a cui i dati personali operativi sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali operativi verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 73.
2. Il registro di cui al paragrafo 1 è tenuto in forma scritta, anche in formato elettronico.
3. L’EPPO mette il registro a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 69 Registrazione per il trattamento automatizzato
1. L’EPPO registra nei sistemi di trattamento automatizzato le operazioni seguenti: raccolta, modifica, consultazione, comunicazione, inclusi i trasferimenti, interconnessione e cancellazione di dati personali operativi usati a fini operativi. Le registrazioni delle consultazioni e delle comunicazioni consentono di stabilire la motivazione, la data e l’ora di tali operazioni, di identificare la persona che ha consultato o comunicato i dati personali operativi, nonché, nella misura del possibile, di stabilire l’identità dei destinatari di tali dati personali operativi.
2. Le registrazioni sono usate ai soli fini della verifica della liceità del trattamento, dell’autocontrollo, per garantire l’integrità e la sicurezza dei dati personali operativi e nell’ambito di procedimenti penali. Le registrazioni sono cancellate dopo tre anni, salvo se sono necessarie per un controllo in corso.
3. L’EPPO mette le registrazioni a disposizione del garante europeo della protezione dei dati su richiesta.
Art. 70 Cooperazione con il garante europeo della protezione dei dati
L’EPPO, su richiesta, coopera con il garante europeo della protezione dei dati nell’esecuzione dei suoi compiti.
Art. 71 Valutazione d’impatto sulla protezione dei dati
1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’ambito di applicazione, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’EPPO effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali.
2. La valutazione di cui al paragrafo 1 contiene almeno una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali operativi e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.
Art. 72 Consultazione preventiva del garante europeo della protezione dei dati
1. L’EPPO consulta il garante europeo della protezione dei dati prima di trattare dati personali che figureranno in un nuovo archivio di prossima creazione se:
a) una valutazione d’impatto sulla protezione dei dati di cui all’articolo 71 indica che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dall’EPPO per attenuare il rischio; o
b) il tipo di trattamento, in particolare se utilizza tecnologie, procedure o meccanismi nuovi, presenta un rischio elevato per i diritti e le libertà degli interessati.
2. Il garante europeo della protezione dei dati può stabilire un elenco di trattamenti soggetti a consultazione preventiva ai sensi del paragrafo 1.
3. L’EPPO trasmette al garante europeo della protezione dei dati la valutazione d’impatto sulla protezione dei dati di cui all’articolo 71 e, su richiesta, ogni altra informazione, al fine di consentire al garante europeo della protezione dei dati di effettuare una valutazione della conformità del trattamento, in particolare dei rischi per la protezione dei dati personali dell’interessato e delle relative garanzie.
4. Se ritiene che il trattamento previsto di cui al paragrafo 1 del presente articolo violi il presente regolamento, in particolare qualora l’EPPO non abbia identificato o attenuato sufficientemente il rischio, il garante europeo della protezione dei dati fornisce, entro un termine di sei settimane dal ricevimento della richiesta di consultazione, un parere scritto all’EPPO sulla base dei poteri di cui dispone ai sensi dell’articolo 85. Tale periodo può essere prorogato di un mese, tenendo conto della complessità del trattamento previsto. Il garante europeo della protezione dei dati informa l’EPPO di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione.
Art. 73 Sicurezza del trattamento dei dati personali operativi
1. L’EPPO, tenuto conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, mette in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, in particolare riguardo al trattamento di categorie particolari di dati personali operativi di cui all’articolo 55.
2. Con riguardo al trattamento automatizzato, l’EPPO, previa valutazione dei rischi, mette in atto misure volte a:
a) vietare alle persone non autorizzate l’accesso alle attrezzature di trattamento dei dati utilizzate per il trattamento (controllo dell’accesso alle attrezzature);
b) impedire che supporti di dati possano essere letti, copiati, modificati o asportati da persone non autorizzate (controllo dei supporti di dati);
c) impedire che i dati personali operativi siano inseriti senza autorizzazione e che i dati personali conservati siano visionati, modificati o cancellati senza autorizzazione (controllo della conservazione);
d) impedire che persone non autorizzate utilizzino sistemi di trattamento automatizzato mediante attrezzature per la trasmissione di dati (controllo dell’utente);
e) garantire che le persone autorizzate a usare un sistema di trattamento automatizzato abbiano accesso solo ai dati personali operativi cui si riferisce la loro autorizzazione d’accesso (controllo dell’accesso ai dati);
f) garantire la possibilità di verificare e accertare gli organi ai quali siano stati o possano essere trasmessi o resi disponibili i dati personali operativi utilizzando la trasmissione di dati (controllo della trasmissione);
g) garantire la possibilità di verificare e accertare a posteriori quali dati personali operativi sono stati introdotti nei sistemi di trattamento automatizzato dei dati, il momento dell’introduzione e la persona che l’ha effettuata (controllo dell’introduzione);
h) impedire che i dati personali possano essere letti, copiati, modificati o cancellati senza autorizzazione durante i trasferimenti di dati personali operativi o il trasporto di supporti di dati (controllo del trasporto);
i) garantire che, in caso di interruzione, i sistemi utilizzati possano essere ripristinati (recupero);
j) garantire che le funzioni del sistema siano operative, che eventuali errori di funzionamento siano segnalati (affidabilità) e che i dati personali operativi conservati non possano essere falsati da un errore di funzionamento del sistema (integrità).
Art. 74 Notifica di una violazione dei dati personali al garante europeo della protezione dei dati
1. In caso di violazione dei dati personali, l’EPPO notifica la violazione al garante europeo della protezione dei dati senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuta a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica al garante europeo della protezione dei dati non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.
2. La notifica di cui al paragrafo 1 deve almeno:
a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati;
c) descrivere le probabili conseguenze della violazione dei dati personali;
d) descrivere le misure adottate o di cui si propone l’adozione da parte dell’EPPO per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
3. Qualora e nella misura in cui non sia possibile fornire le informazioni di cui al paragrafo 2 contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.
4. L’EPPO documenta qualsiasi violazione dei dati personali di cui al paragrafo 1, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente al garante europeo della protezione dei dati di verificare il rispetto del presente articolo.
5. Qualora la violazione dei dati personali riguardi dati personali che sono stati trasmessi da o a un altro titolare del trattamento, l’EPPO comunica le informazioni di cui al paragrafo 3 a tale titolare del trattamento senza ingiustificato ritardo.
Art. 75 Comunicazione di una violazione dei dati personali all’interessato
1. Qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’EPPO comunica la violazione all’interessato senza ingiustificato ritardo.
2. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui all’articolo 74, paragrafo 2, lettere b), c) e d).
3. Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle condizioni seguenti:
a) l’EPPO ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;
b) l’EPPO ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1;
c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.
4. Nel caso in cui l’EPPO non abbia ancora comunicato all’interessato la violazione dei dati personali, il garante europeo della protezione dei dati, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, può richiedere che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.
5. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo può essere ritardata, limitata od omessa alle condizioni e per i motivi di cui all’articolo 60, paragrafo 3.
Art. 76 Accesso autorizzato ai dati personali operativi in seno all’EPPO
Possono avere accesso ai dati personali operativi trattati dall’EPPO, ai fini dello svolgimento dei loro compiti e nei limiti previsti dal presente regolamento, soltanto il procuratore capo europeo, i procuratori europei, i procuratori europei delegati e il personale autorizzato che li assiste.
Art. 77 Designazione del responsabile della protezione dei dati
1. Il collegio designa un responsabile della protezione dei dati su proposta del procuratore capo europeo. Il responsabile della protezione dei dati è un membro del personale nominato appositamente a tale scopo. Nello svolgimento delle sue funzioni, il responsabile della protezione dei dati agisce in piena indipendenza e non può ricevere alcuna istruzione.
2. Il responsabile della protezione dei dati è selezionato in base alle qualità professionali e, in particolare, alla conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, nonché alla capacità di assolvere i compiti di cui al presente regolamento, in particolare all’articolo 79.
3. La scelta del responsabile della protezione dei dati non deve poter dar luogo a un conflitto di interessi tra la sua funzione di responsabile della protezione dei dati ed eventuali altre funzioni ufficiali, in particolare nell’ambito dell’applicazione del presente regolamento.
4. Il responsabile della protezione dei dati è nominato per un periodo di quattro anni e il suo mandato è rinnovabile, ma la durata complessiva del mandato non può superare gli otto anni. Il responsabile della protezione dei dati può essere rimosso dall’incarico di responsabile della protezione dei dati dal collegio solo con il consenso del garante europeo della protezione dei dati, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni.
5. L’EPPO pubblica i dati di contatto del responsabile della protezione dei dati e li comunica al garante europeo della protezione dei dati.
Art. 78 Posizione del responsabile della protezione dei dati
1. L’EPPO provvede affinché il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
2. L’EPPO sostiene il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 79 fornendogli le risorse necessarie per assolvere tali compiti, fornendogli altresì accesso ai dati personali e ai trattamenti, e per mantenere la propria conoscenza specialistica.
3. L’EPPO provvede affinché il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal collegio per l’adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al procuratore capo europeo.
4. Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento e dal regolamento (CE) n. 45/2001.
5. Il collegio adotta le norme attuative relative al responsabile della protezione dei dati. Tali norme attuative riguardano, in particolare, la procedura di selezione, la revoca, i compiti, le funzioni, i poteri e le garanzie di indipendenza del responsabile della protezione dei dati.
6. L’EPPO fornisce al responsabile della protezione dei dati il personale e le risorse necessari all’esercizio delle sue funzioni.
7. Il responsabile della protezione dei dati e il suo personale sono soggetti all’obbligo di riservatezza ai sensi dell’articolo 108.
Art. 79 Compiti del responsabile della protezione dei dati
1. Il responsabile della protezione dei dati ha, in particolare, i compiti seguenti per quanto riguarda il trattamento dei dati personali:
a) garantire, in modo indipendente, che l’EPPO rispetti le disposizioni in materia di protezione dei dati del presente regolamento e del regolamento (CE) n. 45/2001 nonché le pertinenti disposizioni sulla protezione dei dati del regolamento interno dell’EPPO, fra cui sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o nazionali relative alla protezione dei dati nonché delle politiche dell’EPPO in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
b) informare e fornire consulenza all’EPPO nonché al personale che esegue il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o nazionali relative alla protezione dei dati;
c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 71;
d) garantire che sia mantenuta traccia scritta del trasferimento e del ricevimento di dati personali conformemente alle disposizioni da stabilire nel regolamento interno dell’EPPO;
e) cooperare con il personale dell’EPPO preposto alle procedure, alla formazione e alla consulenza in materia di trattamento di dati;
f) cooperare con il garante europeo della protezione dei dati;
g) garantire che gli interessati siano informati dei propri diritti ai sensi del presente regolamento;
h) fungere da punto di contatto per il garante europeo della protezione dei dati per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 72, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione;
i) redigere una relazione annuale e trasmetterla al procuratore capo europeo e al garante europeo della protezione dei dati.
2. Il responsabile della protezione dei dati svolge le funzioni di cui al regolamento (CE) n. 45/2001 per quanto riguarda i dati personali amministrativi.
3. Il responsabile della protezione dei dati e i membri del personale dell’EPPO che assistono il responsabile della protezione dei dati nell’esercizio delle sue funzioni hanno accesso ai dati personali trattati presso l’EPPO e ai locali di quest’ultima nella misura necessaria allo svolgimento dei loro compiti.
4. Qualora ritenga che non siano state rispettate le disposizioni del regolamento (CE) n. 45/2001 relative al trattamento dei dati personali amministrativi o le disposizioni del presente regolamento relative al trattamento dei dati personali operativi, il responsabile della protezione dei dati ne informa il procuratore capo europeo chiedendogli di porre rimedio all’inadempienza entro un dato termine. Se il procuratore capo europeo non pone rimedio al trattamento non conforme entro il termine indicato, il responsabile della protezione dei dati si rivolge al garante europeo della protezione dei dati.
Art. 80 Principi generali per il trasferimento di dati personali operativi
1. L’EPPO può trasferire dati personali operativi a paesi terzi od organizzazioni internazionali, fatta salva l’osservanza delle altre disposizioni del presente regolamento, in particolare dell’articolo 53, soltanto se sono rispettate le condizioni di cui agli articoli da 80 a 83, segnatamente:
a) il trasferimento è necessario per lo svolgimento dei compiti dell’EPPO;
b) i dati personali operativi sono trasferiti al titolare del trattamento in un paese terzo o un’organizzazione internazionale che sia un’autorità competente per la finalità di cui all’articolo 104;
c) nel caso in cui i dati personali operativi da trasferire in conformità del presente articolo siano stati trasmessi o resi disponibili da uno Stato membro dell’Unione europea all’EPPO, quest’ultima deve ottenere l’autorizzazione preliminare dall’autorità competente interessata di detto Stato membro dell’Unione europea in conformità del suo diritto nazionale, a meno che detto Stato membro dell’Unione europea non abbia concesso tale autorizzazione al trasferimento in questione in termini generali o a condizioni particolari;
d) la Commissione ha deciso, a norma dell’articolo 81, che il paese terzo o l’organizzazione internazionale in questione garantisce un livello di protezione adeguato, oppure, in mancanza di una tale decisione di adeguatezza, sono offerte o sussistono garanzie adeguate ai sensi dell’articolo 82, oppure, in mancanza sia di una decisione di adeguatezza sia di tali garanzie adeguate, si applicano deroghe per situazioni specifiche a norma dell’articolo 83; e
e) in caso di trasferimento successivo a un altro paese terzo o a un’altra organizzazione internazionale da parte di un paese terzo o di un’organizzazione internazionale, l’EPPO impone al paese terzo o all’organizzazione internazionale di chiedere la sua autorizzazione preliminare per il trasferimento successivo, che l’EPPO può concedere solo dopo aver tenuto debitamente conto di tutti i fattori pertinenti, tra cui la gravità del reato, la finalità per la quale i dati personali operativi sono stati originariamente trasferiti e il livello di protezione dei dati personali nel paese terzo o nell’organizzazione internazionale verso i quali i dati personali operativi sono successivamente trasferiti.
2. L’EPPO può trasferire dati personali operativi senza l’autorizzazione preliminare di uno Stato membro dell’Unione europea in conformità del paragrafo 1, lettera c), soltanto se il trasferimento dei dati personali operativi è necessario per prevenire una minaccia grave e immediata alla sicurezza pubblica di uno Stato membro dell’Unione europea o di un paese terzo o agli interessi vitali di uno Stato membro dell’Unione europea e l’autorizzazione preliminare non può essere ottenuta tempestivamente. L’autorità competente a rilasciare l’autorizzazione preliminare è informata senza indugio.
3. Il trasferimento dei dati personali operativi ricevuti dall’EPPO verso un paese terzo o un’organizzazione internazionale da parte di uno Stato membro dell’Unione europea, o un’istituzione, un organo, un ufficio o un’agenzia dell’Unione è vietato. Ciò non vale nei casi in cui l’EPPO abbia autorizzato tale trasferimento dopo aver tenuto debitamente conto di tutti i fattori pertinenti, tra cui la gravità del reato, la finalità per la quale i dati personali operativi sono stati originariamente trasferiti e il livello di protezione dei dati personali nel paese terzo o nell’organizzazione internazionale verso i quali i dati personali operativi sono trasferiti. Tale obbligo di ottenere l’autorizzazione preliminare dall’EPPO non si applica ai casi sottoposti alle autorità nazionali competenti ai sensi dell’articolo 34.
4. Gli articoli da 80 a 83 sono applicati al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento e dal diritto dell’Unione non sia pregiudicato.
Art. 81 Trasferimento sulla base di una decisione di adeguatezza
L’EPPO può trasferire dati personali operativi verso un paese terzo o un’organizzazione internazionale se la Commissione ha deciso in conformità dell’articolo 36 della direttiva (UE) 2016/680 che il paese terzo, un territorio o uno o più settori specifici all’interno del paese terzo, o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato.