Document ID: 32022Q0513(01)
Language: ITA

<table><col/><col/><col/><col/><tbody><tr><td><p>13.5.2022&#160;&#160;&#160;</p></td><td><p>IT</p></td><td><p>Gazzetta ufficiale dell&#8217;Unione europea</p></td><td><p>L 136/112</p></td></tr></tbody></table>
DECISIONE GB(D)06-2021
che stabilisce norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento dell’impresa comune Ricerca ATM nel cielo unico europeo 3 [2022/737]
IL CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE RICERCA ATM NEL CIELO UNICO EUROPEO 3 (SESAR 3),
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( 1 ) , in particolare l’articolo 25,
visto il regolamento (UE) 2021/2085 del Consiglio, del 19 novembre 2021, che istituisce le imprese comuni nell’ambito di Orizzonte Europa che abroga i regolamenti (CE) n. 219/2007, (UE) n. 557/2014, (UE) n. 558/2014, (UE) n. 559/2014, (UE) n. 560/2014, (UE) n. 561/2014 e (UE) n. 642/2014 ( 2 ) («atto unico di base»),
vista la decisione (D) 03-2021 del consiglio di amministrazione, che stabilisce norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento dell’impresa comune SESAR,
visti gli orientamenti del Garante europeo della protezione dei dati (GEPD) sull’articolo 25 del regolamento (UE) 2018/1725 e le norme interne,
dopo aver consultato il GEPD il 12 novembre 2019, conformemente all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725,
viste le raccomandazioni del GEPD del 18 dicembre 2019,
dopo aver consultato il comitato del personale dell’impresa comune SESAR 3,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>(1)</p></td><td><p>Solo gli atti giuridici adottati sulla base dei trattati possono prevedere limitazioni dei diritti degli interessati. Qualora tali limitazioni non possano fondarsi su atti giuridici adottati sulla base dei trattati, il regolamento (UE) 2018/1725 stabilisce che, in questioni relative alle operazioni dell&#8217;impresa comune SESAR&#160;3, le limitazioni possono essere previste da norme interne, previa valutazione della necessit&#224; e della proporzionalit&#224; di tali limitazioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(2)</p></td><td><p>In conformit&#224; dell&#8217;articolo&#160;25, paragrafo 1, del regolamento (UE) 2018/1725, le limitazioni nell&#8217;applicazione degli articoli da 14 a&#160;22, degli articoli 35 e&#160;36, nonch&#233; dell&#8217;articolo&#160;4 del medesimo regolamento, nella misura in cui le sue disposizioni corrispondono ai diritti e agli obblighi previsti dagli articoli da 14 a&#160;22, dovrebbero basarsi su norme interne adottate dall&#8217;impresa comune SESAR&#160;3.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(3)</p></td><td><p>Nel quadro del proprio funzionamento amministrativo, l&#8217;impresa comune SESAR&#160;3 pu&#242; condurre indagini amministrative e procedimenti disciplinari, svolgere attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, trattare denunce di irregolarit&#224; da parte di informatori interni, condurre procedimenti (formali e informali) su molestie, trattare reclami interni ed esterni e condurre audit interni, indagini svolte dal responsabile della protezione dei dati dell&#8217;impresa comune SESAR&#160;3 in conformit&#224; dell&#8217;articolo&#160;45, paragrafo 2, del regolamento (UE) 2018/1725, nonch&#233; indagini interne sulla sicurezza (IT).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(4)</p></td><td><p>L&#8217;impresa comune SESAR&#160;3 tratta diverse categorie di dati personali, tra cui dati d&#8217;identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonch&#233; dati riguardanti il caso (quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all&#8217;oggetto del procedimento o dell&#8217;attivit&#224;)&#160;<a>(<span>3</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(5)</p></td><td><p>L&#8217;impresa comune SESAR&#160;3, rappresentata dal suo direttore esecutivo, funge da titolare del trattamento.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(6)</p></td><td><p>I dati personali sono conservati in modo sicuro in un ambiente elettronico o in formato cartaceo, in modo tale da impedire l&#8217;accesso illecito agli stessi o il loro trasferimento a persone che non hanno il diritto di accedervi. I dati personali trattati sono conservati solo per il periodo di tempo necessario e opportuno per le finalit&#224; del trattamento, come specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri dell&#8217;impresa comune SESAR&#160;3.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(7)</p></td><td><p>Le norme interne dovrebbero applicarsi a tutti i trattamenti di dati effettuati dall&#8217;impresa comune SESAR&#160;3 quando conduce indagini amministrative, procedimenti disciplinari, attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, procedure in materia di denunce di irregolarit&#224;, procedure (formali e informali) riguardanti casi di molestie, trattamento di reclami interni ed esterni, audit interni, indagini svolte dal responsabile della protezione dei dati in conformit&#224; dell&#8217;articolo&#160;45, paragrafo 2, del regolamento (UE) 2018/1725, nonch&#233; indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(8)</p></td><td><p>Le norme interne dovrebbero applicarsi a tali rilevanti operazioni di trattamento eseguite prima dell&#8217;avvio dei procedimenti di cui sopra, nel corso dei procedimenti, durante il monitoraggio del seguito dato ai loro risultati e per tutto il periodo in cui continua ad applicarsi la limitazione. Queste norme dovrebbero essere applicabili anche a qualsiasi assistenza e cooperazione fornite dall&#8217;impresa comune SESAR&#160;3 alle autorit&#224; nazionali e alle organizzazioni internazionali al di fuori delle proprie indagini amministrative.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(9)</p></td><td><p>Nei casi in cui si applicano tali norme interne, l&#8217;impresa comune SESAR&#160;3 deve giustificare e spiegare per quale motivo le limitazioni sono strettamente necessarie e proporzionate in una societ&#224; democratica e in quale modo rispettano l&#8217;essenza dei diritti e delle libert&#224; fondamentali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(10)</p></td><td><p>In questo quadro, l&#8217;impresa comune SESAR&#160;3 &#232; tenuta a rispettare, nella misura pi&#249; ampia possibile e nel pieno rispetto della legislazione e degli orientamenti pertinenti, i diritti fondamentali degli interessati durante le procedure citate, in particolare quelli che riguardano il diritto di comunicare informazioni, il diritto di accesso e rettifica, il diritto di cancellazione e limitazione del trattamento, il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato o il diritto alla riservatezza delle comunicazioni sancito nel regolamento (UE) 2018/1725.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(11)</p></td><td><p>Tuttavia, l&#8217;impresa comune SESAR&#160;3 pu&#242; essere obbligata a limitare la comunicazione di informazioni agli interessati e altri loro diritti per proteggere, in particolare, le proprie indagini, le indagini e i procedimenti di altre autorit&#224; pubbliche, nonch&#233; i diritti di altre persone coinvolte nelle sue indagini o in altre procedure.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(12)</p></td><td><p>Nel valutare se applicare una limitazione, l&#8217;impresa comune SESAR&#160;3 deve ponderare il rischio per i diritti e le libert&#224; dell&#8217;interessato considerato, rispetto al rischio per i diritti e le libert&#224; di altri interessati e al rischio di annullare gli effetti delle proprie indagini o procedure, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libert&#224; dell&#8217;interessato riguardano principalmente, ma non esclusivamente, i rischi reputazionali e i rischi per il diritto di difesa e il diritto di essere ascoltato.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(13)</p></td><td><p>L&#8217;impresa comune SESAR&#160;3 pu&#242; quindi limitare le informazioni allo scopo di proteggere sia l&#8217;indagine sia i diritti e le libert&#224; fondamentali di altri interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(14)</p></td><td><p>L&#8217;impresa comune SESAR&#160;3 dovrebbe monitorare periodicamente se le condizioni che giustificano la limitazione continuino ad applicarsi, e dovrebbe revocarla non appena tali condizioni cessano di sussistere.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(15)</p></td><td><p>Il titolare del trattamento dovrebbe informare il responsabile della protezione dei dati al momento del rinvio e durante le revisioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(16)</p></td><td><p>La presente decisione &#232; adottata con procedura scritta in conformit&#224; dell&#8217;articolo&#160;10 del regolamento interno del consiglio di direzione,</p></td></tr></tbody></table>
HA DECISO QUANTO SEGUE:
Articolo 1
Oggetto e ambito d’applicazione
1. La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune SESAR 3, nel quadro delle proprie procedure di cui al paragrafo 2, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 21, negli articoli 35 e 36, nonché nell’articolo 4, in base all’articolo 25 del regolamento (UE) 2018/1725.
2. Nel quadro del funzionamento amministrativo dell’impresa comune SESAR 3, la presente decisione si applica alle operazioni di trattamento dei dati personali da parte dell’ufficio di programma ai fini di condurre indagini amministrative, procedimenti disciplinari e attività preliminari riguardanti casi di potenziali irregolarità segnalate all’OLAF, trattare denunce di irregolarità da parte di informatori interni, condurre procedimenti (formali e informali) su molestie, trattare reclami interni ed esterni e condurre audit interni, indagini svolte dal responsabile della protezione dei dati in conformità dell’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, nonché indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).
3. Le categorie di dati interessate comprendono dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonché dati riguardanti il caso quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all’oggetto del procedimento o dell’attività.
4. Nell’esercizio delle proprie funzioni relative ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune SESAR 3 valuta se sia applicabile una delle deroghe di cui al regolamento citato.
Articolo 2
Indicazione del titolare del trattamento
Il titolare delle operazioni di trattamento è l’impresa comune SESAR 3, rappresentata dal suo direttore esecutivo.
Articolo 3
Indicazione delle garanzie
1. L’impresa comune SESAR 3 mette in atto le seguenti garanzie destinate a prevenire abusi, accessi o trasferimenti illeciti di dati personali:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>i documenti cartacei sono tenuti in armadi sicuri e accessibili soltanto al personale autorizzato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>tutti i dati elettronici sono memorizzati in un&#8217;applicazione informatica sicura conformemente agli standard di sicurezza dell&#8217;impresa comune SESAR&#160;3 e in cartelle elettroniche specifiche accessibili unicamente al personale autorizzato. Sono concessi appropriati livelli di accesso su base individuale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>la banca dati &#232; protetta da password nell&#8217;ambito di un sistema di accesso SSO (<span>Single Sign&#160;On</span>) ed &#232; collegata automaticamente all&#8217;ID e alla password dell&#8217;utente, comprese la &#171;pseudonimizzazione&#187; e/o la &#171;cifratura&#187;, se del caso. La sostituzione degli utenti &#232; rigorosamente vietata. I&#160;registri elettronici sono conservati in maniera sicura per tutelare la riservatezza e la segretezza dei dati contenuti;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>tutte le persone che hanno accesso ai dati hanno l&#8217;obbligo della riservatezza.</p></td></tr></tbody></table>
2. Conformemente all’articolo 6, paragrafo 3, le garanzie di cui al paragrafo 1 devono essere soggette a una revisione periodica.
3. Il periodo di conservazione dei dati personali di cui all’articolo 1, paragrafo 3, è indicato nelle relative comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri di cui all’articolo 7, paragrafo 1. Il periodo di conservazione non sarà in ogni caso più lungo di quanto necessario e sarà appropriato per le finalità per le quali i dati sono trattati ( 4 ) .
Articolo 4
Motivi per le limitazioni
1. Eventuali limitazioni sono applicate dall’impresa comune SESAR 3 esclusivamente per salvaguardare:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>la sicurezza nazionale, la sicurezza pubblica o la difesa degli Stati membri;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>la prevenzione, l&#8217;indagine, l&#8217;accertamento e il perseguimento di reati o l&#8217;esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la relativa prevenzione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>altri importanti obiettivi di interesse pubblico generale dell&#8217;Unione o di uno Stato membro, in particolare gli obiettivi della politica estera e di sicurezza comune dell&#8217;Unione o un rilevante interesse economico o finanziario dell&#8217;Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanit&#224; pubblica e sicurezza sociale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>la sicurezza interna delle istituzioni e degli organismi dell&#8217;Unione, comprese le relative reti di comunicazione elettronica;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>le attivit&#224; volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>una funzione di controllo, d&#8217;ispezione o di regolamentazione connessa, anche occasionalmente, all&#8217;esercizio di pubblici poteri nei casi di cui ai punti da&#160;a) a&#160;c);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>la tutela dell&#8217;interessato o dei diritti e delle libert&#224; altrui;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>l&#8217;esecuzione di azioni civili.</p></td></tr></tbody></table>
2. Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’impresa comune SESAR 3 può applicare limitazioni nei seguenti casi:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>in relazione ai dati personali scambiati con i servizi della Commissione o con altri uffici, istituzioni, organi e organismi dell&#8217;Unione:</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tali servizi della Commissione o istituzioni, organi e organismi dell&#8217;Unione sono legittimati a limitare l&#8217;esercizio dei diritti elencati in virt&#249; di altri atti previsti dall&#8217;articolo&#160;25 del regolamento (UE) 2018/1725 o conformemente al capo IX di detto regolamento oppure sulla base degli atti costitutivi di altri organi, organismi e istituzioni dell&#8217;Unione;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale servizio della Commissione o di un&#8217;istituzione, un organo o un organismo dell&#8217;Unione sarebbe compromessa qualora l&#8217;impresa comune SESAR&#160;3 non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>in relazione ai dati personali scambiati con le autorit&#224; competenti degli Stati membri:</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tali autorit&#224; competenti degli Stati membri sono legittimate a limitare l&#8217;esercizio dei diritti elencati in virt&#249; dei motivi di cui all&#8217;articolo&#160;23 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio&#160;<a>(<span>5</span>)</a>, o a norma delle disposizioni nazionali di recepimento dell&#8217;articolo&#160;13, paragrafo 3, dell&#8217;articolo&#160;15, paragrafo 3, o dell&#8217;articolo&#160;16, paragrafo 3, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio&#160;<a>(<span>6</span>)</a>;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale autorit&#224; competente sarebbe compromessa qualora l&#8217;impresa comune SESAR&#160;3 non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>in relazione ai dati personali scambiati con paesi terzi o organizzazioni internazionali, qualora sia chiaramente dimostrato che l&#8217;esercizio di tali diritti e obblighi rischia di mettere a repentaglio la cooperazione dell&#8217;impresa comune SESAR&#160;3 con paesi terzi o organizzazioni internazionali nello svolgimento dei suoi compiti.</p></td></tr></tbody></table>
Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’impresa comune SESAR 3 consulta i servizi della Commissione, le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’impresa comune SESAR 3 non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle lettere summenzionate.
Articolo 5
Limitazioni e diritti degli interessati
1. In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, i diritti che seguono possono essere limitati dal titolare del trattamento nel contesto delle operazioni di trattamento di cui all’articolo 1, paragrafo 2, e al paragrafo 2 seguente, laddove necessario e proporzionato:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il diritto all&#8217;informazione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>il diritto di accesso;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il diritto di rettifica, cancellazione e limitazione del trattamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>il diritto di riservatezza delle comunicazioni elettroniche.</p></td></tr></tbody></table>
2. In casi debitamente giustificati e al fine di salvaguardare le finalità di cui all’articolo 4, paragrafo 1, il titolare del trattamento può applicare limitazioni nell’ambito delle seguenti operazioni di trattamento di cui all’articolo 1, paragrafo 2:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>svolgimento di indagini amministrative e procedimenti disciplinari;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>procedure in materia di denunce di irregolarit&#224;;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>procedure formali e informali riguardanti casi di molestie;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>trattamento di reclami interni ed esterni;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>audit interni;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>indagini svolte dal responsabile della protezione dei dati, in linea con l&#8217;articolo&#160;45, paragrafo 2, del regolamento (UE) 2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>nell&#8217;ambito della procedura di gestione delle sovvenzioni o di aggiudicazione degli appalti, alla scadenza del termine per la presentazione degli inviti a presentare proposte o per la presentazione delle offerte.</p></td></tr></tbody></table>
3. Nell’ambito della procedura per i casi di molestie, i diritti di cui al paragrafo 1 possono essere limitati alle stesse condizioni, ad eccezione del diritto di comunicare la violazione dei dati personali all’interessato di cui al paragrafo 1, lettera d).
4. Nell’ambito della procedura di gestione delle sovvenzioni o di aggiudicazione degli appalti, i diritti di cui al paragrafo 1 possono essere limitati alle stesse condizioni, ad eccezione del diritto di rettifica, cancellazione e limitazione del trattamento di cui al paragrafo 1, lettera c).
5. In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, il diritto di rettifica, cancellazione e limitazione del trattamento può essere limitato dal titolare del trattamento, ad eccezione di quanto previsto ai paragrafi 3 e 4.
6. Qualora limiti, in tutto o in parte, l’applicazione dei diritti di cui ai paragrafi 1, 3, 4 e 5, l’impresa comune SESAR 3 adotta le misure di cui agli articoli 6 e 7 della presente decisione.
7. Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o a una particolare operazione di trattamento, l’impresa comune SESAR 3 limita la propria valutazione della richiesta esclusivamente a tali dati personali.
Articolo 6
Necessità e proporzionalità delle limitazioni
1. Le eventuali limitazioni ai sensi dell’articolo 4 sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.
2. Se si considera l’applicazione di limitazioni, si effettua una verifica della necessità e della proporzionalità sulla base delle presenti regole. La verifica deve essere condotta anche nell’ambito della revisione periodica, dopo aver valutato se le ragioni di fatto e di diritto di una limitazione siano ancora valide. Tale procedura è documentata mediante una nota di valutazione interna ai fini della rendicontabilità ed è effettuata caso per caso.
3. Le limitazioni sono temporanee e continuano ad applicarsi finché sussistono i motivi che le giustificano, in particolare laddove si ritenga che l’esercizio del diritto limitato non annullerebbe più l’effetto della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.
L’impresa comune SESAR 3 riesamina l’applicazione della limitazione ogni sei mesi a partire dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente il titolare del trattamento valuta la necessità di mantenere eventuali limitazioni ogni sei mesi.
4. Qualora applichi, in tutto o in parte, le limitazioni ai sensi dell’articolo 4 della presente decisione, l’impresa comune SESAR 3 registra le ragioni della limitazione e il motivo giuridico conformemente al precedente paragrafo 1, inclusa la valutazione della necessità e della proporzionalità della limitazione.
La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.
Articolo 7
Obbligo di informazione
1. Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’Intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune SESAR 3 include informazioni riguardanti le potenziali limitazioni di tali diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.
Fatte salve le disposizioni di cui all’articolo 6, paragrafo 4, se appropriato l’impresa comune SESAR 3 informa singolarmente tutti gli interessati considerati persone interessate nella specifica operazione di trattamento anche sui loro diritti riguardanti le limitazioni attuali o future, senza indebito ritardo e in forma scritta.
2. Qualora limiti, in tutto o in parte, i diritti di cui all’articolo 5, l’impresa comune SESAR 3 informa l’interessato sulla limitazione applicata e sui principali motivi della stessa, come pure sulla possibilità di presentare reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
La comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725.
Articolo 8
Revisione da parte del responsabile della protezione dei dati
1. L’impresa comune SESAR 3 informa senza indebito ritardo il proprio responsabile della protezione dei dati (RPD) ogniqualvolta il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce al responsabile della protezione dei dati l’accesso al registro contenente la valutazione della necessità e della proporzionalità della limitazione e documenta nel registro la data in cui ha informato l’RPD.
2. Il RPD può chiedere al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.
3. Il RPD viene coinvolto nel corso dell’intera procedura. Il titolare del trattamento informa il RPD quando la limitazione cessa di sussistere.
Articolo 9
Entrata in vigore
La presente decisione entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Fatto a Bruxelles, 14 dicembre 2021
Per il consiglio di direzione dell’impresa comune SESAR 3
Henrik HOLOLEI
Presidente
<note>
( 1 ) GU L 295 del 21.11.2018, pag. 39 .
( 2 ) GU L 427 del 30.11.2021, pag. 17 .
( 3 ) In caso di contitolarità del trattamento, i dati sono trattati in linea con i mezzi e le finalità stabiliti nell’accordo pertinente tra i contitolari del trattamento, come definito all’articolo 28 del regolamento (UE) 2018/1725.
( 4 ) La politica di conservazione dell’impresa comune SESAR 3 si basa sulla conservazione dei fascicoli presso la Commissione come disciplinata dall’elenco comune di conservazione, ossia un documento normativo, la cui ultima versione è il SEC (2019) 900, che consiste in uno schema di conservazione e stabilisce i periodi di conservazione per i diversi tipi di documenti della Commissione.
( 5 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 )
( 6 ) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU L 119 del 4.5.2016, pag. 89 ).
</note>