Document ID: 32023Q02189
Language: ITA

<table><col/><col/><col/><tbody><tr><td><img/></td><td><p>Gazzetta ufficiale<br/>dell'Unione europea</p></td><td><p>IT</p><p>Serie L</p></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2023/2189</p></td><td><p>16.10.2023</p></td></tr></tbody></table>
CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE SALUTE GLOBALE EDCTP3 DECISIONE GB/18/2023
che stabilisce le norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento dell’impresa comune «Salute globale EDCTP3» [2023/2189]
IL CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE «SALUTE GLOBALE EDCTP3»,
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE («regolamento (UE) 2018/1725») ( 1 ) , in particolare l’articolo 25,
visto il regolamento (UE) 2021/2085 del Consiglio, del 19 novembre 2021, che istituisce le imprese comuni nell’ambito di Orizzonte Europa che abroga i regolamenti (CE) n. 219/2007, (UE) n. 557/2014, (UE) n. 558/2014, (UE) n. 559/2014, (UE) n. 560/2014, (UE) n. 561/2014 e (UE) n. 642/2014 ( 2 ) («atto unico di base»),
visti gli orientamenti del Garante europeo della protezione dei dati (GEPD) sull’articolo 25 del regolamento (UE) 2018/1725 e le norme interne del 24 giugno 2020 ( 3 ) ,
dopo aver consultato il GEPD il 12 giugno 2023, conformemente all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725,
viste le raccomandazioni del GEPD del 19 giugno 2023,
informato il personale dell’impresa comune «Global Health EDCTP3»,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>1)</p></td><td><p>Solo gli atti giuridici adottati sulla base dei trattati possono prevedere limitazioni dei diritti degli interessati. Qualora tali limitazioni non possano fondarsi su atti giuridici adottati sulla base dei trattati, il regolamento (UE)&#160;2018/1725 stabilisce che, in questioni relative alle operazioni dell&#8217;impresa comune &#171;Global Health EDCTP3&#187;, le limitazioni possono essere previste da norme interne, previa valutazione della necessit&#224; e della proporzionalit&#224; di tali limitazioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>2)</p></td><td><p>In conformit&#224; dell&#8217;articolo&#160;25, paragrafo 1, del regolamento (UE)&#160;2018/1725, le limitazioni nell&#8217;applicazione degli articoli da 14 a&#160;22 e degli articoli 35 e&#160;36 del medesimo regolamento, nonch&#233; dell&#8217;articolo&#160;4 nella misura in cui le sue disposizioni corrispondono ai diritti e agli obblighi previsti dagli articoli da 14 a&#160;20, dovrebbero basarsi su norme interne adottate dall&#8217;impresa comune &#171;Global Health EDCTP3&#187;.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>3)</p></td><td><p>Nel quadro del proprio funzionamento amministrativo, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; condurre indagini amministrative e procedimenti predisciplinari, disciplinari e di sospensione, svolgere attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, trattare denunce di irregolarit&#224; da parte di informatori interni, condurre procedimenti (formali e informali) riguardanti casi di molestie, trattare reclami interni ed esterni e condurre audit interni ed esterni, svolgere indagini a cura del responsabile della protezione dei dati (&#171;DPO&#187;) in conformit&#224; dell&#8217;articolo&#160;45, paragrafo 2, del regolamento (UE)&#160;2018/1725 e indagini sulla sicurezza (IT) a conduzione interna o con la partecipazione di soggetti esterni (p.es. CERT-UE).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>4)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; anche svolgere indagini in merito a potenziali violazioni delle norme di sicurezza relative alle informazioni classificate UE (&#171;ICUE&#187;), sulla base della decisione che intende adottare sulle proprie norme di sicurezza per la protezione di tali informazioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>5)</p></td><td><p>Nell&#8217;ambito di tali indagini amministrative, audit e indagini, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; collabora con le altre istituzioni e gli altri organi e organismi dell&#8217;Unione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>6)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; collaborare con le autorit&#224; nazionali dei paesi terzi e con organizzazioni internazionali, su loro richiesta o di propria iniziativa.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>7)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; anche collaborare con le autorit&#224; pubbliche degli Stati membri dell&#8217;UE, su loro richiesta o di propria iniziativa.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>8)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; &#232; coinvolta nelle cause dinanzi alla Corte di giustizia dell&#8217;Unione europea per adire la stessa Corte o per difendere le proprie decisioni impugnate dinanzi alla Corte o, ancora, intervenire nei casi pertinenti ai propri compiti. In tale contesto l&#8217;impresa comune &#171;Global Health EDCTP3&#187; potrebbe avere la necessit&#224; di salvaguardare la riservatezza dei dati personali che figurano nei documenti ottenuti dalle parti o dagli intervenienti.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>9)</p></td><td><p>Per svolgere i propri compiti l&#8217;impresa comune &#171;Global Health EDCTP3&#187; raccoglie e tratta diverse categorie di dati personali, tra cui dati d&#8217;identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonch&#233; dati riguardanti il caso quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all&#8217;oggetto del procedimento o dell&#8217;attivit&#224;&#160;<a>(<span>4</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>10)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187;, rappresentata dal suo direttore esecutivo, funge da titolare del trattamento.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>11)</p></td><td><p>I dati personali sono conservati in modo sicuro in un ambiente elettronico o in formato cartaceo, in modo tale da impedire l&#8217;accesso illecito agli stessi o il loro trasferimento a persone che non hanno il diritto di accedervi. I dati personali trattati sono conservati solo per il periodo di tempo necessario e opportuno per le finalit&#224; del trattamento, come specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri dell&#8217;impresa comune &#171;Global Health EDCTP3&#187;.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>12)</p></td><td><p>A norma del regolamento (UE)&#160;2018/1725, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; &#232; pertanto tenuta ad adempiere all&#8217;obbligo di fornire informazioni agli interessati in relazione alle suddette attivit&#224; di trattamento e a rispettare i diritti degli stessi interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>13)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; essere anche tenuta a conciliare tali diritti con gli obiettivi delle indagini amministrative e di altra natura, degli audit e dei procedimenti giudiziari. Pu&#242; essere necessario conciliare i diritti di un interessato con i diritti e le libert&#224; fondamentali di altri interessati. A tal fine, l&#8217;articolo&#160;25 del regolamento (UE)&#160;2018/1725 prevede, a condizioni rigorose, che l&#8217;impresa comune &#171;Global Health EDCTP3&#187; abbia la possibilit&#224; di limitare l&#8217;applicazione degli articoli da 14 a&#160;22, 35 e&#160;36 del regolamento (UE)&#160;2018/1725, nonch&#233; dell&#8217;articolo&#160;4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a&#160;20.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>14)</p></td><td><p>Le norme interne dovrebbero applicarsi a tali rilevanti operazioni di trattamento eseguite prima dell&#8217;avvio dei procedimenti di cui sopra, nel corso dei procedimenti, durante il monitoraggio del seguito dato ai loro risultati e per tutto il periodo in cui continua ad applicarsi la limitazione. Queste norme dovrebbero essere applicabili anche a qualsiasi assistenza e cooperazione fornite dall&#8217;impresa comune &#171;Global Health EDCTP3&#187; alle autorit&#224; nazionali e alle organizzazioni internazionali al di fuori delle proprie indagini amministrative.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>15)</p></td><td><p>Nei casi in cui si applicano tali norme interne, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; deve giustificare e spiegare per quale motivo le limitazioni sono strettamente necessarie e proporzionate in una societ&#224; democratica e in quale modo rispettano l&#8217;essenza dei diritti e delle libert&#224; fondamentali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>16)</p></td><td><p>In questo quadro, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; &#232; tenuta a rispettare, nel pieno rispetto della legislazione e degli orientamenti pertinenti, i diritti fondamentali degli interessati durante le procedure citate, in particolare quelli che riguardano il diritto di comunicare informazioni, il diritto di accesso e rettifica, il diritto di cancellazione e limitazione del trattamento, il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato o il diritto alla riservatezza delle comunicazioni sancito nel regolamento (UE)&#160;2018/1725.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>17)</p></td><td><p>Tuttavia, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; essere obbligata a limitare la comunicazione di informazioni agli interessati e altri loro diritti per proteggere, in particolare, le proprie indagini, le indagini e i procedimenti di altre autorit&#224; pubbliche, nonch&#233; i diritti di altre persone connesse alle sue indagini o ad altre procedure.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>18)</p></td><td><p>Nel valutare se applicare una limitazione, l&#8217;impresa comune &#171;Global Health EDCTP3&#187; deve ponderare il rischio per i diritti e le libert&#224; dell&#8217;interessato considerato, rispetto al rischio per i diritti e le libert&#224; di altri interessati e al rischio di annullare gli effetti delle proprie indagini o procedure, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libert&#224; dell&#8217;interessato riguardano principalmente, ma non esclusivamente, i rischi reputazionali e i rischi per il diritto di difesa e il diritto di essere ascoltato.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>19)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; pu&#242; quindi limitare le informazioni allo scopo di proteggere sia l&#8217;indagine sia i diritti e le libert&#224; fondamentali di altri interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>20)</p></td><td><p>Per garantire la massima tutela dei diritti e delle libert&#224; degli interessati e in conformit&#224; dell&#8217;articolo&#160;44, paragrafo 1, del regolamento (UE)&#160;2018/1725, il RPD dovrebbe essere consultato a tempo debito in merito alle eventuali limitazioni applicabili e dovrebbe verificarne la conformit&#224; alla presente decisione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>21)</p></td><td><p>L&#8217;impresa comune &#171;Global Health EDCTP3&#187; dovrebbe monitorare periodicamente se le condizioni che giustificano la limitazione continuino ad applicarsi, e dovrebbe revocarla non appena tali condizioni cessano di sussistere.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>22)</p></td><td><p>Il titolare del trattamento dovrebbe informare il RPD al momento del rinvio e durante le revisioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>23)</p></td><td><p>La presente decisione &#232; adottata con procedura scritta in conformit&#224; dell&#8217;articolo&#160;10 del regolamento interno del consiglio di direzione di &#171;Global Health EDCTP3&#187;,</p></td></tr></tbody></table>
HA DECISO QUANTO SEGUE:
Articolo 1
Oggetto e ambito d’applicazione
1. La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune «Global Health EDCTP3», nel quadro delle proprie procedure di cui all’articolo 3 della presente decisione, può limitare l’applicazione degli articoli da 14 a 22, degli articoli 35 e 36, nonché nell’articolo 4, del regolamento (UE) 2018/1725, sulla base dell’articolo 25 del medesimo regolamento.
2. Le categorie di dati interessate da dette procedure comprendono dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonché dati riguardanti il caso quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all’oggetto del procedimento o dell’attività.
3. Nell’esercizio delle proprie funzioni relative ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune «Global Health EDCTP3» valuta se sia applicabile una delle deroghe di cui al regolamento citato.
Articolo 2
Indicazione del titolare del trattamento
Il titolare delle operazioni di trattamento è l’impresa comune «Global Health EDCTP3», rappresentata dal suo direttore esecutivo.
Articolo 3
Limitazioni
1. L’impresa comune «Global Health EDCTP3» può limitare l’applicazione degli articoli da 14 a 22, 35 e 36 del regolamento (UE) 2018/1725, nonché dell’articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere b), c), f), g) e h), del regolamento (UE)&#160;2018/1725, quando svolge indagini amministrative e avvia procedimenti predisciplinari, disciplinari o di sospensione ai sensi dell&#8217;articolo&#160;86 e dell&#8217;allegato IX dello statuto dei funzionari e della decisione n.&#160;17/2023 del consiglio di amministrazione dell&#8217;impresa comune &#171;Global Health EDCTP3&#187;, nonch&#233; quando notifica casi all&#8217;OLAF;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera h), del regolamento (UE)&#160;2018/1725, quando garantisce che i membri del personale dell&#8217;impresa comune &#171;Global Health EDCTP3&#187; possano segnalare in via riservata fatti laddove ritengono che vi siano gravi irregolarit&#224;, come disciplinato dalla decisione n.&#160;12/2023 del consiglio di amministrazione dell&#8217;impresa comune &#171;Global Health EDCTP3&#187; sulle norme interne in materia di denunce di irregolarit&#224;;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera h), del regolamento (UE)&#160;2018/1725, quando garantisce che i membri del personale dell&#8217;impresa comune &#171;Global Health EDCTP3&#187; possano effettuare segnalazioni a consulenti di fiducia nel contesto di una procedura in materia di molestie ai sensi della decisione n.&#160;13/2023 del consiglio di amministrazione dell&#8217;impresa comune &#171;Global Health EDCTP3&#187;;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera c), g) e h), del regolamento (UE)&#160;2018/1725, nello svolgimento di audit interni ed esterni in relazione alle attivit&#224; o ai settori dell&#8217;impresa comune &#171;Global Health EDCTP3&#187;;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), d), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza o cooperazione a o da altre istituzioni e altri organi e organismi dell&#8217;Unione nel contesto delle attivit&#224; di cui alle lettere da a) a d) del presente paragrafo e ai sensi dei pertinenti accordi sul livello dei servizi, memorandum d&#8217;intesa e accordi di cooperazione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza e cooperazione a e da autorit&#224; nazionali di paesi terzi e organizzazioni internazionali, su loro richiesta o di propria iniziativa;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza e cooperazione a e da autorit&#224; pubbliche degli Stati membri dell&#8217;UE, su loro richiesta o di propria iniziativa;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera e), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali in documenti ottenuti dalle parti o dagli intervenienti nel contesto di procedimenti dinanzi alla Corte di giustizia dell&#8217;Unione europea;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nel corso delle indagini svolte dal RPD in linea con l&#8217;articolo&#160;45, paragrafo 2, del medesimo regolamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>j)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), d), g) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nel corso di indagini sulla sicurezza informatica gestite internamente o con la partecipazione di soggetti esterni (p.es. CERT-UE);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>k)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nell&#8217;ambito della procedura di gestione delle sovvenzioni o di appalto, dopo il termine ultimo per la presentazione degli inviti a presentare proposte o per la presentazione delle offerte.</p></td></tr></tbody></table>
2. Come applicazione specifica delle limitazioni descritte nel precedente paragrafo 1, l’impresa comune «Global Health EDCTP3» può applicare limitazioni nei casi seguenti:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>in relazione ai dati personali scambiati con i servizi della Commissione o con altri uffici, istituzioni, organi e organismi dell&#8217;Unione;</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tali servizi della Commissione o istituzioni, organi e organismi dell&#8217;Unione sono legittimati a limitare l&#8217;esercizio dei diritti elencati in virt&#249; di altri atti previsti dall&#8217;articolo&#160;25 del regolamento (UE)&#160;2018/1725 o conformemente al capo IX di detto regolamento oppure sulla base degli atti costitutivi di altri organi, organismi e istituzioni dell&#8217;Unione;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale servizio della Commissione o di un&#8217;istituzione, un organo o un organismo dell&#8217;Unione sarebbe compromessa qualora l&#8217;impresa comune &#171;Global Health EDCTP3&#187; non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>in relazione ai dati personali scambiati con le autorit&#224; competenti degli Stati membri;</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tali autorit&#224; competenti degli Stati membri sono legittimate a limitare l&#8217;esercizio dei diritti elencati in virt&#249; dei motivi di cui all&#8217;articolo&#160;23 del regolamento (UE)&#160;2016/679 del Parlamento europeo e del Consiglio&#160;<a>(<span>5</span>)</a>, o a norma delle disposizioni nazionali di recepimento dell&#8217;articolo&#160;13, paragrafo 3, dell&#8217;articolo&#160;15, paragrafo 3, o dell&#8217;articolo&#160;16, paragrafo 3, della direttiva (UE)&#160;2016/680 del Parlamento europeo e del Consiglio&#160;<a>(<span>6</span>)</a>;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale autorit&#224; competente sarebbe compromessa qualora l&#8217;impresa comune &#171;Global Health EDCTP3&#187; non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>in relazione ai dati personali scambiati con paesi terzi o organizzazioni internazionali, qualora sia chiaramente dimostrato che l&#8217;esercizio di tali diritti e obblighi rischia di mettere a repentaglio la cooperazione dell&#8217;impresa comune &#171;Global Health EDCTP3&#187; con paesi terzi o organizzazioni internazionali nello svolgimento dei suoi compiti.</p></td></tr></tbody></table>
Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’impresa comune «Global Health EDCTP3» consulta i servizi della Commissione, le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’impresa comune «Global Health EDCTP3» non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle lettere summenzionate.
3. Qualora limiti, in tutto o in parte, l’applicazione dei diritti di cui ai precedenti paragrafi 1 e 2, l’impresa comune «Global Health EDCTP3» adotta le misure di cui agli articoli 5 e 6 della presente decisione.
4. Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o a una particolare operazione di trattamento, l’impresa comune «Global Health EDCTP3» limita la propria valutazione della richiesta esclusivamente a tali dati personali.
Articolo 4
Indicazione delle garanzie
1. L’impresa comune «Global Health EDCTP3» mette in atto garanzie per prevenire gli abusi e l’accesso o il trasferimento illeciti di dati personali che sono o possono essere soggetti a limitazioni. Tali garanzie, che includono misure tecniche e organizzative, sono specificate, ove necessario, nelle decisioni, procedure e norme di attuazione interne dell’impresa comune «Global Health EDCTP3». Le garanzie comprendono quanto segue:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>definizione chiara dei ruoli, delle responsabilit&#224; e delle fasi procedurali;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>i documenti cartacei sono tenuti in armadi sicuri e accessibili soltanto al personale autorizzato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>tutti i dati elettronici sono memorizzati in un&#8217;applicazione informatica sicura conformemente agli standard di sicurezza dell&#8217;impresa comune &#171;Global Health EDCTP3&#187; e in cartelle elettroniche specifiche accessibili unicamente al personale autorizzato. Sono concessi appropriati livelli di accesso su base individuale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>tutte le persone che hanno accesso ai dati hanno l&#8217;obbligo della riservatezza;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>il debito monitoraggio delle limitazioni e un riesame periodico della loro applicazione.</p></td></tr></tbody></table>
2. Conformemente all’articolo 5, paragrafo 3, le garanzie di cui al paragrafo 1 devono essere soggette a una revisione periodica.
3. I dati personali sono conservati conformemente alle norme dell’impresa comune «Global Health EDCTP3» applicabili in materia di conservazione, che devono essere definite nei registri relativi alla protezione dei dati tenuti a norma dell’articolo 31 del regolamento (UE) 2018/1725. Il periodo di conservazione non sarà in ogni caso più lungo di quanto necessario e sarà appropriato per le finalità per le quali i dati sono trattati.
Articolo 5
Necessità e proporzionalità delle limitazioni
1. Le eventuali limitazioni ai sensi dell’articolo 3 sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.
2. Se si considera l’applicazione di limitazioni, si effettua una verifica della necessità e della proporzionalità sulla base delle presenti regole. La verifica deve essere condotta anche nell’ambito della revisione periodica, dopo aver valutato se le ragioni di fatto e di diritto di una limitazione siano ancora valide. Tale procedura è documentata mediante una nota di valutazione interna ai fini della rendicontabilità ed è effettuata caso per caso.
L’impresa comune «Global Health EDCTP3» redige relazioni periodiche sull’applicazione dell’articolo 25 del regolamento (UE) 2018/1725.
3. Le limitazioni sono temporanee e continuano ad applicarsi finché sussistono i motivi che le giustificano, in particolare laddove si ritenga che l’esercizio del diritto limitato non annullerebbe più l’effetto della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.
L’impresa comune «Global Health EDCTP3» riesamina l’applicazione della limitazione ogni sei mesi a partire dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente il titolare del trattamento valuta la necessità di mantenere eventuali limitazioni ogni sei mesi.
4. Qualora applichi, in tutto o in parte, le limitazioni ai sensi dell’articolo 3, l’impresa comune «Global Health EDCTP3» registra le ragioni della limitazione e il motivo o i motivi giuridici conformemente al medesimo articolo 3, inclusa la valutazione della necessità e della proporzionalità della limitazione.
La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del garante europeo della protezione dei dati.
Articolo 6
Obbligo di informazione
1. Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’Intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune «Global Health EDCTP3» include informazioni riguardanti le potenziali limitazioni di tali diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.
Fatte salve le disposizioni di cui all’articolo 5, paragrafo 4, se appropriato l’impresa comune «Global Health EDCTP3» informa singolarmente tutti gli interessati considerati persone interessate nella specifica operazione di trattamento anche sui loro diritti riguardanti le limitazioni attuali o future, senza indebito ritardo e in forma scritta.
2. Qualora limiti, in tutto o in parte, i diritti di cui all’articolo 3, l’impresa comune «Global Health EDCTP3» informa l’interessato sulla limitazione applicata e sui principali motivi della stessa, come pure sulla possibilità di presentare reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
La comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725.
Articolo 7
Ruolo del responsabile della protezione dei dati
1. L’impresa comune «Global Health EDCTP3» informa senza indebito ritardo il proprio RPD prima che il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione e durante il periodo in cui vigono dette limitazioni. Il titolare del trattamento fornisce al RPD l’accesso al registro contenente la valutazione della necessità e della proporzionalità della limitazione e a tutti i documenti riguardanti la situazione di fatto o di diritto.
2. Il RPD può chiedere al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.
3. Il RPD viene coinvolto nel corso dell’intera procedura. Il titolare del trattamento informa il RPD quando la limitazione cessa di sussistere.
4. L’impresa comune «Global Health EDCTP3» documenta per iscritto il ruolo del RPD nell’applicazione delle limitazioni, e include quali informazioni sono condivise con quest’ultimo.
Articolo 8
Comunicazione all’interessato di una violazione dei dati personali
1. Qualora abbia l’obbligo di comunicare una violazione dei dati a norma dell’articolo 35, paragrafo 1, del regolamento (UE) 2018/1725, l’impresa comune «Global Health EDCTP3» può, in circostanze eccezionali, limitare tale comunicazione in tutto o in parte. L’impresa comune documenta in una nota i motivi della limitazione, la sua base giuridica ai sensi dell’articolo 3 della presente decisione e una valutazione della sua necessità e proporzionalità. La nota è trasmessa al GEPD al momento della notifica della violazione dei dati personali.
2. Qualora cessino di sussistere i motivi della limitazione, l’impresa comune «Global Health EDCTP3» comunica la violazione dei dati personali all’interessato e lo informa in merito ai principali motivi della limitazione e al suo diritto di proporre reclamo al GEPD.
Articolo 9
Riservatezza delle comunicazioni elettroniche
1. In circostanze eccezionali, l’impresa comune «Global Health EDCTP3» può limitare il diritto alla riservatezza delle comunicazioni elettroniche a norma dell’articolo 36 del regolamento (UE) 2018/1725. Le limitazioni sono conformi alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio.
2. Laddove limiti il diritto alla riservatezza delle comunicazioni elettroniche, l’impresa comune «Global Health EDCTP3» informa l’interessato, nella risposta a una sua richiesta, dei principali motivi sui quali si basa l’applicazione della limitazione e del suo diritto di proporre reclamo presso il Garante europeo della protezione dei dati.
3. L’impresa comune «Global Health EDCTP3» può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e sul diritto di proporre reclamo al Garante europeo della protezione dei dati soltanto nella misura in cui tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso.
Articolo 10
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Fatto a Bruxelles, il 3 agosto 2023
Per il consiglio di direzione dell’impresa comune «Global Health EDCTP3»
Henning GÄDEKE
Presidente del consiglio di direzione
( 1 ) GU L 295 del 21.11.2018, pag. 39 .
( 2 ) GU L 427 del 30.11.2021, pag. 17 .
( 3 ) Disponibili qui: Guidance on Art. 25 of the Regulation (UE) 2018/1725 | Garante europeo della protezione dei dati (europa.eu)
( 4 ) In caso di contitolarità del trattamento, i dati sono trattati in linea con i mezzi e le finalità stabiliti nell’accordo pertinente tra i contitolari del trattamento, come definito all’articolo 28 del regolamento (UE) 2018/1725.
( 5 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE ( GU L 119 del 4.5.2016, pag. 1 ).
( 6 ) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU L 119 del 4.5.2016, pag. 89 ).
ELI: http://data.europa.eu/eli/dec/2023/2189/oj
ISSN 1977-0707 (electronic edition)