Document ID: 32023Q02511
Language: ITA

<table><col/><col/><col/><tbody><tr><td><img/></td><td><p>Gazzetta ufficiale<br/>dell'Unione europea</p></td><td><p>IT</p><p>Serie L</p></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2023/2511</p></td><td><p>14.11.2023</p></td></tr></tbody></table>
DECISIONE DEL CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE RETI E SERVIZI INTELLIGENTI n. 18/2023
dell’11 ottobre 2023
che stabilisce le norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento dell’impresa comune «Reti e servizi intelligenti» [2023/2511]
IL CONSIGLIO DI DIREZIONE,
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( 1 ) [«regolamento (UE) 2018/1725»], in particolare l’articolo 25,
visto il regolamento (UE) 2021/2085 del Consiglio, del 19 novembre 2021, che istituisce le imprese comuni nell’ambito di Orizzonte Europa che abroga i regolamenti (CE) n. 219/2007, (UE) n. 557/2014, (UE) n. 558/2014, (UE) n. 559/2014, (UE) n. 560/2014, (UE) n. 561/2014 e (UE) n. 642/2014 ( 2 ) (di seguito «regolamento istitutivo») , in particolare l’impresa comune «Reti e servizi intelligenti» (di seguito «impresa comune SNS»),
visti gli orientamenti del Garante europeo della protezione dei dati («GEPD»), del 24 giugno 2020, sull’articolo 25 del regolamento (UE) 2018/1725 e le norme interne ( 3 ) ,
previa consultazione del GEPD, avvenuta il 13 giugno 2023, conformemente all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725,
viste le raccomandazioni del GEPD del 19 giugno 2023,
informato il personale dell’impresa comune SNS,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>1)</p></td><td><p>Solo gli atti giuridici adottati sulla base dei trattati possono prevedere limitazioni dei diritti degli interessati. Qualora tali limitazioni non possano fondarsi su atti giuridici adottati sulla base dei trattati, il regolamento (UE)&#160;2018/1725 stabilisce che, in questioni relative alle operazioni dell&#8217;impresa comune SNS, le limitazioni possono essere previste da norme interne, previa valutazione della necessit&#224; e della proporzionalit&#224; di tali limitazioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>2)</p></td><td><p>In conformit&#224; dell&#8217;articolo&#160;25, paragrafo 1, del regolamento (UE)&#160;2018/1725, le limitazioni nell&#8217;applicazione degli articoli da 14 a&#160;22 e degli articoli 35 e&#160;36, nonch&#233; dell&#8217;articolo&#160;4 del medesimo regolamento nella misura in cui le sue disposizioni corrispondono ai diritti e agli obblighi di cui agli articoli da 14 a&#160;20, dovrebbero basarsi su norme interne adottate dall&#8217;impresa comune SNS.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>3)</p></td><td><p>Nel quadro del proprio funzionamento amministrativo, l&#8217;impresa comune SNS pu&#242; condurre indagini amministrative ed espletare procedimenti disciplinari, svolgere attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, trattare denunce di irregolarit&#224; da parte di informatori interni, condurre procedure (formali e informali) riguardanti casi di molestie, trattare reclami interni ed esterni, effettuare audit interni e svolgere indagini a cura del responsabile della protezione dei dati in conformit&#224; dell&#8217;articolo&#160;45, paragrafo 2, del regolamento (UE)&#160;2018/1725 e indagini interne sulla sicurezza (informatica) gestite internamente o con la partecipazione di soggetti esterni (ad esempio CERT-UE).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>4)</p></td><td><p>L&#8217;impresa comune SNS pu&#242; anche svolgere indagini in merito a potenziali violazioni delle norme di sicurezza relative alle informazioni classificate UE (&#171;ICUE&#187;), sulla base della decisione che intende adottare sulle proprie norme di sicurezza per la protezione di tali informazioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>5)</p></td><td><p>Nell&#8217;ambito di tali indagini amministrative, audit e indagini, l&#8217;impresa comune SNS collabora con le altre istituzioni e gli altri organi e organismi dell&#8217;Unione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>6)</p></td><td><p>L&#8217;impresa comune SNS pu&#242; collaborare con le autorit&#224; nazionali dei paesi terzi e con organizzazioni internazionali, su loro richiesta o di propria iniziativa.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>7)</p></td><td><p>L&#8217;impresa comune SNS pu&#242; anche collaborare con le autorit&#224; pubbliche degli Stati membri dell&#8217;UE, su loro richiesta o di propria iniziativa.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>8)</p></td><td><p>L&#8217;impresa comune SNS &#232; coinvolta nelle cause dinanzi alla Corte di giustizia dell&#8217;Unione europea per adire la stessa Corte o per difendere le proprie decisioni impugnate dinanzi alla Corte o, ancora, per intervenire nei casi pertinenti ai propri compiti. In tale contesto l&#8217;impresa comune SNS potrebbe avere la necessit&#224; di salvaguardare la riservatezza dei dati personali che figurano nei documenti ottenuti dalle parti o dagli intervenienti.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>9)</p></td><td><p>Per svolgere i propri compiti l&#8217;impresa comune SNS raccoglie e tratta diverse categorie di dati personali, tra cui dati d&#8217;identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonch&#233; dati riguardanti il caso quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all&#8217;oggetto della procedura o dell&#8217;attivit&#224;&#160;<a>(<span>4</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>10)</p></td><td><p>L&#8217;impresa comune SNS, rappresentata dal suo direttore esecutivo, funge da titolare del trattamento.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>11)</p></td><td><p>I dati personali sono conservati in modo sicuro in un ambiente elettronico o in formato cartaceo, in modo tale da impedire l&#8217;accesso illecito agli stessi o il loro trasferimento a persone che non hanno il diritto di accedervi. I dati personali trattati sono conservati solo per il periodo di tempo necessario e opportuno per le finalit&#224; del trattamento come specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri dell&#8217;impresa comune SNS.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>12)</p></td><td><p>A norma del regolamento (UE)&#160;2018/1725 l&#8217;impresa comune SNS &#232; pertanto tenuta a fornire agli interessati informazioni in relazione alle suddette attivit&#224; di trattamento e a rispettare i loro diritti in quanto interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>13)</p></td><td><p>L&#8217;impresa comune SNS potrebbe essere tenuta a conciliare tali diritti con gli obiettivi delle indagini amministrative e di altra natura, degli audit e dei procedimenti giudiziari. Essa potrebbe anche dover trovare un punto di equilibrio tra i diritti di un interessato e i diritti e le libert&#224; fondamentali di altri interessati. A tal fine, l&#8217;articolo&#160;25 del regolamento (UE)&#160;2018/1725 prevede, a condizioni rigorose, che l&#8217;impresa comune SNS abbia la possibilit&#224; di limitare l&#8217;applicazione degli articoli da 14 a&#160;22 e degli articoli 35 e&#160;36 del regolamento (UE)&#160;2018/1725, nonch&#233; dell&#8217;articolo&#160;4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a&#160;20.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>14)</p></td><td><p>Le norme interne dovrebbero applicarsi a tali pertinenti operazioni di trattamento eseguite prima dell&#8217;avvio delle procedure di cui sopra, nel corso di tali procedure, durante il monitoraggio del seguito dato ai loro risultati e per tutto il periodo in cui continua ad applicarsi la limitazione. Tali norme dovrebbero essere applicabili anche a qualsiasi assistenza e cooperazione fornite dall&#8217;impresa comune SNS alle autorit&#224; nazionali e alle organizzazioni internazionali al di fuori delle proprie indagini amministrative.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>15)</p></td><td><p>Nei casi in cui si applicano tali norme interne, l&#8217;impresa comune SNS deve motivare la necessit&#224; e la proporzionalit&#224; delle limitazioni in una societ&#224; democratica, nel rispetto dell&#8217;essenza dei diritti e delle libert&#224; fondamentali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>16)</p></td><td><p>In questo quadro, l&#8217;impresa comune SNS &#232; tenuta a rispettare, in completa ottemperanza alla legislazione e agli orientamenti pertinenti, i diritti fondamentali degli interessati durante le citate procedure, in particolare quelli che riguardano il diritto alla comunicazione di informazioni, il diritto di accesso e rettifica, il diritto alla cancellazione e il diritto di limitazione del trattamento, il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato o il diritto alla riservatezza delle comunicazioni sancito nel regolamento (UE)&#160;2018/1725.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>17)</p></td><td><p>Tuttavia, l&#8217;impresa comune SNS pu&#242; essere obbligata a limitare la comunicazione di informazioni agli interessati e altri loro diritti per proteggere, in particolare, le proprie indagini, le indagini e i procedimenti di altre autorit&#224; pubbliche, nonch&#233; i diritti di altre persone connesse alle proprie indagini o ad altre procedure.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>18)</p></td><td><p>Nel valutare se applicare una limitazione, l&#8217;impresa comune SNS pondera il rischio per i diritti e le libert&#224; dell&#8217;interessato, in particolare, rispetto al rischio per i diritti e le libert&#224; di altri interessati e al rischio di annullare gli effetti delle indagini o delle procedure dell&#8217;impresa comune SNS, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libert&#224; dell&#8217;interessato riguardano principalmente, ma non esclusivamente, i rischi reputazionali e i rischi per il diritto di difesa e il diritto di essere ascoltato.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>19)</p></td><td><p>L&#8217;impresa comune SNS pu&#242; quindi limitare la comunicazione di informazioni allo scopo di proteggere sia l&#8217;indagine sia i diritti e le libert&#224; fondamentali di altri interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>20)</p></td><td><p>Per garantire la massima tutela dei diritti e delle libert&#224; degli interessati e in conformit&#224; dell&#8217;articolo&#160;44, paragrafo 1, del regolamento (UE)&#160;2018/1725, il responsabile della protezione dei dati dovrebbe essere consultato a tempo debito in merito alle eventuali limitazioni che possono essere applicate e dovrebbe verificarne la conformit&#224; alla presente decisione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>21)</p></td><td><p>L&#8217;impresa comune SNS dovrebbe monitorare periodicamente che le condizioni che giustificano le limitazioni continuino ad applicarsi e revocare le limitazioni non appena tali condizioni cessano di sussistere.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>22)</p></td><td><p>Il titolare del trattamento dovrebbe informare il responsabile della protezione dei dati al momento del rinvio e durante le revisioni.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>23)</p></td><td><p>La presente decisione &#232; adottata con procedura scritta in conformit&#224; dell&#8217;articolo&#160;10 del regolamento interno del consiglio di direzione dell&#8217;impresa comune SNS,</p></td></tr></tbody></table>
DECIDE:
Articolo 1
Oggetto e ambito di applicazione
1. La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune SNS, nel quadro delle sue procedure stabilite al paragrafo 2, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 22 e negli articoli 35 e 36, nonché nell’articolo 4, del regolamento (UE) 2018/1725 in base all’articolo 25 del medesimo regolamento.
2. Le categorie di dati interessate da dette procedure comprendono dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonché dati riguardanti il caso quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all’oggetto della procedura o dell’attività.
3. Quando esercita le sue funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune SNS valuta se siano applicabili le deroghe previste in tale regolamento.
Articolo 2
Indicazione del titolare del trattamento
Il titolare delle operazioni di trattamento è l’impresa comune SNS, rappresentata dal suo direttore esecutivo.
Articolo 3
Limitazioni
1. L’impresa comune SNS può limitare l’applicazione degli articoli da 14 a 22 e degli articoli 35 e 36 del regolamento (UE) 2018/1725, nonché dell’articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere b), c), f), g) e h), del regolamento (UE)&#160;2018/1725, quando svolge indagini amministrative ed espleta procedimenti predisciplinari, disciplinari o di sospensione ai sensi dell&#8217;articolo&#160;86 e dell&#8217;allegato IX dello statuto dei funzionari, nonch&#233; quando notifica casi all&#8217;OLAF;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera h), del regolamento (UE)&#160;2018/1725, quando garantisce che i membri del personale dell&#8217;impresa comune SNS possano segnalare in via riservata fatti laddove ritengono che vi siano gravi irregolarit&#224;, come disciplinato dalla decisione n.&#160;09/2023 del consiglio di direzione dell&#8217;impresa comune SNS sulle norme interne in materia di denunce di irregolarit&#224;;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera h), del regolamento (UE)&#160;2018/1725, quando garantisce che i membri del personale dell&#8217;impresa comune SNS possano effettuare segnalazioni a consulenti di fiducia nel contesto di una procedura in materia di molestie ai sensi della decisione n.&#160;13/2023 del consiglio di direzione dell&#8217;impresa comune SNS;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando effettua audit interni ed esterni in relazione alle attivit&#224; o ai settori dell&#8217;impresa comune SNS;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), d), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza o cooperazione a o da altre istituzioni e altri organi e organismi dell&#8217;Unione nel contesto delle attivit&#224; di cui alle lettere da a) a d) del presente paragrafo e ai sensi dei pertinenti accordi sul livello dei servizi, memorandum d&#8217;intesa e accordi di cooperazione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza o cooperazione a e da autorit&#224; nazionali di paesi terzi e organizzazioni internazionali, su loro richiesta o di propria iniziativa;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando fornisce o riceve assistenza e cooperazione a e da autorit&#224; pubbliche degli Stati membri dell&#8217;UE, su loro richiesta o di propria iniziativa;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettera e), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali in documenti ottenuti dalle parti o dagli intervenienti nel contesto di procedimenti dinanzi alla Corte di giustizia dell&#8217;Unione europea;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nel corso delle indagini svolte dal responsabile della protezione dei dati in linea con l&#8217;articolo&#160;45, paragrafo 2, del medesimo regolamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>j)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), d), g) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nel corso di indagini sulla sicurezza informatica gestite internamente o con la partecipazione di soggetti esterni (ad esempio CERT-UE);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>k)</p></td><td><p>a norma dell&#8217;articolo&#160;25, paragrafo 1, lettere c), g) e h), del regolamento (UE)&#160;2018/1725, quando tratta i dati personali nell&#8217;ambito della procedura di gestione delle sovvenzioni o di appalto, dopo il termine ultimo per la presentazione degli inviti a presentare proposte o per la presentazione delle offerte.</p></td></tr></tbody></table>
2. Come applicazione specifica delle limitazioni descritte nel precedente paragrafo 1, l’impresa comune SNS può applicare limitazioni nei casi seguenti:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>in relazione ai dati personali scambiati con i servizi della Commissione o con altre istituzioni e altri organi e organismi dell&#8217;Unione:</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tale servizio della Commissione o istituzione, organo o organismo dell&#8217;Unione ha il diritto di limitare l&#8217;esercizio dei diritti elencati in virt&#249; di altri atti previsti dall&#8217;articolo&#160;25 del regolamento (UE)&#160;2018/1725 o conformemente al capo IX di detto regolamento oppure sulla base degli atti costitutivi di altre istituzioni e altri organi e organismi dell&#8217;Unione;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale servizio della Commissione o istituzione, organo o organismo dell&#8217;Unione sarebbe compromessa qualora l&#8217;impresa comune SNS non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>in relazione ai dati personali scambiati con le autorit&#224; competenti degli Stati membri:</p><table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>quando tali autorit&#224; competenti degli Stati membri hanno il diritto di limitare l&#8217;esercizio dei diritti elencati in virt&#249; degli atti di cui all&#8217;articolo&#160;23 del regolamento (UE)&#160;2016/679 del Parlamento europeo e del Consiglio&#160;<a>(<span>5</span>)</a>, o a norma delle disposizioni nazionali di recepimento dell&#8217;articolo&#160;13, paragrafo 3, dell&#8217;articolo&#160;15, paragrafo 3, o dell&#8217;articolo&#160;16, paragrafo 3, della direttiva (UE)&#160;2016/680 del Parlamento europeo e del Consiglio&#160;<a>(<span>6</span>)</a>;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>ii)</p></td><td><p>nel caso in cui la finalit&#224; di una simile limitazione da parte di tale autorit&#224; competente sarebbe compromessa qualora l&#8217;impresa comune SNS non applicasse una limitazione equivalente per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>in relazione ai dati personali scambiati con paesi terzi o organizzazioni internazionali, qualora sia chiaramente dimostrato che l&#8217;esercizio di tali diritti e obblighi rischia di mettere a repentaglio la cooperazione dell&#8217;impresa comune SNS con paesi terzi o organizzazioni internazionali nello svolgimento dei suoi compiti. Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l&#8217;impresa comune SNS consulta i servizi competenti della Commissione, le istituzioni, gli organi o gli organismi competenti dell&#8217;Unione o le autorit&#224; competenti degli Stati membri, a meno che all&#8217;impresa comune SNS non risulti evidente che l&#8217;applicazione di una limitazione &#232; prevista in virt&#249; di uno degli atti di cui alle lettere summenzionate.</p></td></tr></tbody></table>
3. Qualora limiti, in tutto o in parte, l’applicazione dei diritti di cui ai precedenti paragrafi 1 e 2, l’impresa comune SNS adotta le misure di cui agli articoli 5 e 6 della presente decisione.
4. Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o a una particolare operazione di trattamento, l’impresa comune SNS limita la propria valutazione della richiesta esclusivamente a tali dati personali.
Articolo 4
Indicazione delle garanzie
1. L’impresa comune SNS mette in atto garanzie per prevenire gli abusi e l’accesso o il trasferimento illeciti di dati personali che sono o possono essere soggetti a limitazioni. Tali garanzie, che includono misure tecniche e organizzative, sono specificate, ove necessario, nelle decisioni, procedure e norme di attuazione interne dell’impresa comune SNS. Le garanzie prevedono quanto segue:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>una definizione chiara dei ruoli, delle responsabilit&#224; e delle fasi procedurali;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>i documenti cartacei sono tenuti in armadi sicuri e accessibili soltanto al personale autorizzato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>tutti i dati elettronici sono memorizzati in un&#8217;applicazione informatica sicura conformemente agli standard di sicurezza dell&#8217;impresa comune SNS e in cartelle elettroniche specifiche accessibili unicamente al personale autorizzato. Sono concessi appropriati livelli di accesso su base individuale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>tutte le persone che hanno accesso ai dati hanno l&#8217;obbligo della riservatezza;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>il debito monitoraggio delle limitazioni e un riesame periodico della loro applicazione.</p></td></tr></tbody></table>
2. Conformemente all’articolo 5, paragrafo 3, le garanzie di cui al paragrafo 1 sono soggette a un riesame periodico.
3. I dati personali sono conservati conformemente alle norme dell’impresa comune SNS applicabili in materia di conservazione, che devono essere definite nei registri relativi alla protezione dei dati tenuti a norma dell’articolo 31 del regolamento (UE) 2018/1725. Il periodo di conservazione non è in ogni caso più lungo di quanto necessario ed è appropriato per le finalità per le quali i dati sono trattati.
Articolo 5
Necessità e proporzionalità delle limitazioni
1. Le eventuali limitazioni ai sensi dell’articolo 3 della presente decisione sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.
2. Se si considera l’applicazione di limitazioni, si effettua una verifica della necessità e della proporzionalità sulla base delle presenti norme. La verifica si effettua anche nell’ambito del riesame periodico, dopo aver valutato se i motivi di fatto e di diritto di una limitazione siano ancora applicabili. Tale procedura è documentata mediante una nota di valutazione interna ai fini della rendicontabilità ed è effettuata caso per caso.
L’impresa comune SNS redige relazioni periodiche sull’applicazione dell’articolo 25 del regolamento (UE) 2018/1725.
3. Le limitazioni sono temporanee. Esse continuano ad applicarsi finché i motivi che le giustificano restano applicabili, in particolare laddove si ritenga che l’effetto della limitazione imposta non sia più annullato o che i diritti e le libertà di altri interessati non siano più lesi dall’esercizio del diritto limitato.
L’impresa comune SNS riesamina l’applicazione della limitazione ogni sei mesi a partire dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente il titolare del trattamento valuta ogni sei mesi la necessità di mantenere eventuali limitazioni.
4. Qualora applichi, in tutto o in parte, le limitazioni ai sensi dell’articolo 3 della presente decisione, l’impresa comune SNS registra i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.
La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del GEPD.
Articolo 6
Obbligo di informazione
1. Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri, ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune SNS include informazioni riguardanti le potenziali limitazioni di tali diritti. Tali informazioni riguardano i diritti che possono essere limitati, i motivi e la durata potenziale della limitazione.
Fatte salve le disposizioni di cui all’articolo 5, paragrafo 4, della presente decisione, se ciò è proporzionato, l’impresa comune SNS informa anche singolarmente tutti gli interessati, considerati persone interessate nella specifica operazione di trattamento, dei loro diritti riguardanti le limitazioni attuali o future senza indebito ritardo e per iscritto.
2. Qualora limiti, in tutto o in parte, i diritti di cui all’articolo 3 della presente decisione, l’impresa comune SNS informa l’interessato della limitazione applicata e dei principali motivi della stessa, come pure della possibilità di presentare reclamo al GEPD o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
In conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, la comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione.
Articolo 7
Coinvolgimento del responsabile della protezione dei dati
1. L’impresa comune SNS consulta senza indebito ritardo il proprio responsabile della protezione dei dati prima che il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione e durante il periodo in cui vige detta limitazione. Il titolare del trattamento fornisce al responsabile della protezione dei dati l’accesso al registro contenente la valutazione della necessità e della proporzionalità della limitazione e a tutti i documenti riguardanti la situazione di fatto o di diritto.
2. Il responsabile della protezione dei dati può chiedere per iscritto al titolare del trattamento di riesaminare l’applicazione delle limitazioni. Il titolare del trattamento informa per iscritto il responsabile della protezione dei dati circa l’esito del riesame richiesto.
3. Il responsabile della protezione dei dati è coinvolto nel corso dell’intera procedura. Il titolare del trattamento informa il responsabile della protezione dei dati quando la limitazione viene revocata.
4. L’impresa comune SNS documenta per iscritto il ruolo del responsabile della protezione dei dati nell’applicazione delle limitazioni, indicando anche quali informazioni sono condivise con il responsabile stesso.
Articolo 8
Comunicazione di una violazione dei dati personali all’interessato
1. Qualora abbia l’obbligo di comunicare una violazione dei dati a norma dell’articolo 35, paragrafo 1, del regolamento (UE) 2018/1725, l’impresa comune SNS può, in circostanze eccezionali, limitare tale comunicazione in tutto o in parte. L’impresa comune documenta in una nota i motivi della limitazione, la sua base giuridica ai sensi dell’articolo 3 della presente decisione e una valutazione della sua necessità e proporzionalità. La nota è trasmessa al GEPD al momento della notifica della violazione dei dati personali.
2. Qualora cessino di sussistere i motivi della limitazione, l’impresa comune SNS comunica la violazione dei dati personali all’interessato e lo informa in merito ai principali motivi della limitazione e al suo diritto di proporre reclamo al GEPD.
Articolo 9
Riservatezza delle comunicazioni elettroniche
1. In circostanze eccezionali l’impresa comune SNS può limitare il diritto alla riservatezza delle comunicazioni elettroniche di cui all’articolo 36 del regolamento (UE) 2018/1725. Tali limitazioni sono conformi alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio ( 7 ) .
2. Laddove limiti il diritto alla riservatezza delle comunicazioni elettroniche, l’impresa comune SNS informa l’interessato, nella risposta a una sua richiesta, dei principali motivi sui quali si basa l’applicazione della limitazione e del suo diritto di proporre reclamo al GEPD.
3. L’impresa comune SNS può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e sul diritto di proporre reclamo al GEPD soltanto nella misura in cui tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione per stabilire se ciò sia giustificato è effettuata caso per caso.
Articolo 10
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Fatto a Bruxelles, l’11 ottobre 2023
Per il consiglio di direzione
Il presidente
Colin WILLCOCK
( 1 ) GU L 295 del 21.11.2018, pag. 39 .
( 2 ) GU L 427 del 30.11.2021, pag. 17 .
( 3 ) Disponibili qui: Orientamenti sull'articolo 25 del regolamento (UE) 2018/1725 | Garante europeo della protezione dei dati (europa.eu).
( 4 ) In caso di contitolarità del trattamento, i dati sono trattati in linea con i mezzi e le finalità stabiliti nell’accordo pertinente tra i contitolari del trattamento, come definito all’articolo 28 del regolamento (UE) 2018/1725.
( 5 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
( 6 ) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU L 119 del 4.5.2016, pag. 89 ).
( 7 ) Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU L 201 del 31.7.2002, pag. 37 ).
ELI: http://data.europa.eu/eli/dec/2023/2511/oj
ISSN 1977-0707 (electronic edition)