Document ID: 32021Q0525(01)
Language: ITA

<table><col/><col/><col/><col/><tbody><tr><td><p>25.5.2021&#160;&#160;&#160;</p></td><td><p>IT</p></td><td><p>Gazzetta ufficiale dell&#8217;Unione europea</p></td><td><p>C 196/13</p></td></tr></tbody></table>
DECISIONE DELL’AUTORITÀ BANCARIA EUROPEA
del 23 aprile 2021
che stabilisce norme interne riguardanti le limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito delle attività svolte dall’Autorità bancaria europea
(2021/C 196/06)
IL CONSIGLIO DI AMMINISTRAZIONE,
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( 1 ) , in particolare l’articolo 25,
visto il regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l’Autorità europea di vigilanza (Autorità bancaria europea), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/78/CE della Commissione ( 2 ) , in particolare l’articolo 47, paragrafo 1, e l’articolo 71,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>(1)</p></td><td><p>L&#8217;Autorit&#224; bancaria europea (ABE) svolge le proprie attivit&#224; conformemente al regolamento (UE) n.&#160;1093/2010 ed eventuale modifica ulteriore, abrogazione o sostituzione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(2)</p></td><td><p>Conformemente all&#8217;articolo&#160;25, paragrafo&#160;1, del regolamento (UE)&#160;2018/1725, le limitazioni nell&#8217;applicazione degli articoli da&#160;14 a&#160;22 e degli articoli&#160;35 e&#160;36, nonch&#233; dell&#8217;articolo&#160;4 del medesimo regolamento, nella misura in cui le relative disposizioni corrispondono ai diritti e agli obblighi di cui agli articoli da&#160;14 a&#160;22, dovrebbero basarsi su norme interne adottate dall&#8217;ABE, qualora non si fondino su atti giuridici adottati sulla base dei trattati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(3)</p></td><td><p>Laddove l&#8217;ABE eserciti le proprie funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE)&#160;2018/1725, essa valuta se eventuali deroghe stabilite in tale regolamento trovino applicazione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(4)</p></td><td><p>L&#8217;ABE tratta diverse categorie di dati personali, tra cui dati &#171;oggettivi&#187; (quali dati d&#8217;identificazione, recapiti, dati professionali, informazioni amministrative, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e/o dati &#171;soggettivi&#187; (riguardanti il caso, quali motivazione, dati su comportamenti e condotta e dati relativi o presentati in relazione all&#8217;oggetto del procedimento o dell&#8217;attivit&#224;).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(5)</p></td><td><p>Rappresentata dal suo direttore esecutivo, l&#8217;ABE agisce in qualit&#224; di titolare del trattamento, indipendentemente dalle ulteriori deleghe di tale ruolo all&#8217;interno dell&#8217;Autorit&#224; stessa volte a riflettere le responsabilit&#224; operative di specifici trattamenti di dati personali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(6)</p></td><td><p>I dati personali sono conservati in modo sicuro in un ambiente elettronico o in formato cartaceo, di modo che siano impediti l&#8217;accesso illecito o il trasferimento dei dati a persone che non hanno necessit&#224; di venirne a conoscenza. I dati personali sono conservati solo durante il periodo di tempo necessario e opportuno per le finalit&#224; del trattamento e specificato nei registri relativi alla protezione dei dati e nelle informative sulla privacy dell&#8217;ABE.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(7)</p></td><td><p>Nell&#8217;ambito dell&#8217;esercizio delle proprie attivit&#224;, l&#8217;ABE &#232; tenuta a rispettare, nella misura pi&#249; ampia possibile, i diritti fondamentali degli interessati, in particolare quelli che riguardano la comunicazione di informazioni, l&#8217;accesso e la rettifica, la cancellazione, la limitazione del trattamento, la comunicazione all&#8217;interessato riguardo alla violazione dei dati personali o la riservatezza delle comunicazioni, secondo quanto sancito nel regolamento (UE)&#160;2018/1725.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(8)</p></td><td><p>Tuttavia, l&#8217;ABE pu&#242; essere costretta a limitare le informazioni agli interessati e altri loro diritti per proteggere, in particolare, la riservatezza e l&#8217;efficacia delle proprie indagini, le indagini e i procedimenti di altre autorit&#224; pubbliche nonch&#233; i diritti di altri soggetti legati alle proprie indagini o ad altre procedure.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(9)</p></td><td><p>Nell&#8217;ambito del proprio operato, l&#8217;ABE ha la facolt&#224; di svolgere una serie di indagini, come indagini amministrative, procedimenti disciplinari, attivit&#224; preliminari relative a frodi finanziarie, indagini relative a denunce di irregolarit&#224; o molestie, audit interni, indagini svolte dal responsabile della protezione dei dati (RPD) o sul rispetto delle norme etiche, indagini relative alle tecnologie dell&#8217;informazione e della comunicazione, indagini sulla sicurezza delle informazioni e attivit&#224; svolte nel contesto dei rischi per la sicurezza e della gestione degli incidenti. Inoltre, al fine di esercitare le proprie funzioni, l&#8217;ABE pu&#242; condurre indagini su potenziali violazioni del diritto dell&#8217;Unione, intervenire nella risoluzione di controversie tra autorit&#224; competenti, svolgere una mediazione fra tali autorit&#224; nonch&#233; indagini relative alla prevenzione e al contrasto del riciclaggio e del finanziamento del terrorismo, indagini relative alla tutela dei consumatori e ad attivit&#224; finanziarie al fine di valutare potenziali minacce all&#8217;integrit&#224; dei mercati finanziari o alla stabilit&#224; del sistema finanziario dell&#8217;Unione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(10)</p></td><td><p>Le norme interne dovrebbero applicarsi a tutte le operazioni di trattamento dei dati effettuate dall&#8217;ABE nello svolgimento delle indagini di cui sopra e altres&#236; alle operazioni di trattamento dei dati svolte anteriormente all&#8217;avvio delle indagini di cui sopra, nel corso del loro svolgimento e durante il monitoraggio del seguito dato al relativo risultato finale. Ci&#242; dovrebbe inoltre includere l&#8217;assistenza, il coordinamento e/o la cooperazione richiesti all&#8217;ABE dalle autorit&#224; nazionali e dalle organizzazioni internazionali nell&#8217;ambito delle loro indagini amministrative.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(11)</p></td><td><p>Prima di ricorrere alle limitazioni previste dalle suddette norme interne, l&#8217;ABE dovrebbe valutare la possibilit&#224; di applicare una delle deroghe stabilite dal regolamento (UE)&#160;2018/1725. Qualora siano d&#8217;applicazione limitazioni sulla base di tali norme interne, l&#8217;ABE deve giustificarne la stretta necessit&#224; e proporzionalit&#224; in una societ&#224; democratica e il rispetto dell&#8217;essenza dei diritti e delle libert&#224; fondamentali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(12)</p></td><td><p>L&#8217;ABE dovrebbe monitorare la validit&#224; applicativa delle condizioni giustificanti la limitazione e revocare la limitazione non appena tali condizioni cessino di sussistere.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(13)</p></td><td><p>Il titolare del trattamento dovrebbe informare il RPD quando limita l&#8217;applicazione di determinati diritti degli interessati ai sensi della presente decisione, quando estende tale limitazione e quando questa viene revocata,</p></td></tr></tbody></table>
HA ADOTTATO LA SEGUENTE DECISIONE:
Articolo 1
Oggetto e ambito di applicazione
1. La presente decisione stabilisce norme interne relative alle condizioni alle quali l’ABE, nel quadro delle attività di cui ai paragrafi da 2 a 5, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 21 e nell’articolo 35, nonché nell’articolo 4 della presente, sulla base dell’articolo 25 del regolamento (UE) 2018/1725. Dette limitazioni non pregiudicano le deroghe relative ai diritti degli interessati previste dal regolamento (UE) 2018/1725.
2. Nell’ambito dell’operato dell’ABE, le limitazioni previste al paragrafo 1 si applicano al trattamento dei dati personali da parte dell’Autorità per i seguenti scopi:
<table><col/><col/><tbody><tr><td><p>(a)</p></td><td><p>indagini amministrative e procedimenti disciplinari, ai sensi dell&#8217;articolo&#160;25, paragrafo&#160;1, lettera&#160;f), del regolamento (UE)&#160;2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(b)</p></td><td><p>trattamento delle irregolarit&#224; in collegamento con l&#8217;Ufficio europeo per la lotta antifrode (OLAF), ai sensi dell&#8217;articolo&#160;25, paragrafo&#160;1, lettere&#160;b) o f), del regolamento (UE)&#160;2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(c)</p></td><td><p>trattamento delle denunce di irregolarit&#224;, molestie (formali e informali) nonch&#233; reclami interni ed esterni, ai sensi dell&#8217;articolo&#160;25, paragrafo&#160;1, lettera&#160;f), del regolamento (UE)&#160;2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(d)</p></td><td><p>audit interni, indagini sul rispetto delle norme etiche, accertamenti, procedimenti e indagini a cura del RPD, a norma dell&#8217;articolo&#160;25, paragrafo&#160;1, lettere&#160;f) o g), o dell&#8217;articolo&#160;45, paragrafo&#160;2, del regolamento (UE)&#160;2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(e)</p></td><td><p>indagini relative alle tecnologie dell&#8217;informazione e della comunicazione, indagini sulla sicurezza delle informazioni e attivit&#224; svolte nel contesto della gestione dei rischi e degli incidenti relativi alla sicurezza, gestite internamente o esternalizzate, ai sensi dell&#8217;articolo&#160;25, paragrafo&#160;1, lettera&#160;d), del regolamento (UE)&#160;2018/1725.</p></td></tr></tbody></table>
3. Nell’esercizio delle funzioni dell’ABE, le limitazioni previste al paragrafo 1 si applicano al trattamento dei dati personali da parte dell’Autorità per uno dei seguenti scopi:
<table><col/><col/><tbody><tr><td><p>(a)</p></td><td><p>indagini su potenziali violazioni del diritto dell&#8217;Unione, a norma dell&#8217;articolo&#160;17 del regolamento (UE) n.&#160;1093/2010;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(b)</p></td><td><p>accertamenti e procedimenti relativi alla tutela dei consumatori e ad attivit&#224; finanziarie, al fine di valutare potenziali minacce all&#8217;integrit&#224; dei mercati finanziari o alla stabilit&#224; del sistema finanziario dell&#8217;Unione, a norma degli articoli&#160;9 e&#160;22 del regolamento (UE) n.&#160;1093/2010;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(c)</p></td><td><p>procedimenti relativi alla risoluzione di controversie tra autorit&#224; competenti, a norma dell&#8217;articolo&#160;19 del regolamento (UE) n.&#160;1093/2010 e degli atti legislativi di cui all&#8217;articolo&#160;1, paragrafo&#160;2, del medesimo regolamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(d)</p></td><td><p>procedimenti relativi a una mediazione non vincolante svolta dall&#8217;ABE, a norma dell&#8217;articolo&#160;31, paragrafo&#160;2, lettera&#160;c), del regolamento&#160;(UE) n.&#160;1093/2010 e degli atti legislativi di cui all&#8217;articolo&#160;1, paragrafo&#160;2, del medesimo regolamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(e)</p></td><td><p>indagini relative alla prevenzione e al contrasto del riciclaggio e del finanziamento del terrorismo, a norma dell&#8217;articolo&#160;9&#160;<span>ter</span> del regolamento (UE) n.&#160;1093/2010 e degli atti legislativi di cui all&#8217;articolo&#160;1, paragrafo&#160;2, del medesimo regolamento.</p></td></tr></tbody></table>
4. Inoltre, queste limitazioni si applicano all’assistenza, al coordinamento e/o alla cooperazione forniti dall’ABE alle autorità competenti definite all’articolo 4, punto 2), del regolamento (UE) n. 1093/2010, comprese le autorità di paesi terzi e le organizzazioni internazionali nel contesto delle indagini condotte per lo svolgimento delle relative funzioni statutarie.
5. Le limitazioni menzionate al paragrafo 1 si applicano anche alle operazioni di trattamento effettuate prima dell’apertura delle indagini o altre indagini amministrative di cui ai paragrafi da 2 a 4, durante tali indagini e durante il monitoraggio del seguito dato al relativo risultato finale.
6. La presente decisione si applica a qualsiasi categoria di dati personali trattati nell’ambito delle attività di cui ai paragrafi da 2 a 5.
7. Fatte salve le condizioni stabilite nella presente decisione, le limitazioni sono applicabili ai seguenti diritti: comunicazione di informazioni agli interessati, accesso, rettifica, cancellazione, limitazione del trattamento e comunicazione di una violazione dei dati personali all’interessato.
Articolo 2
Titolare del trattamento incaricato degli accertamenti e delle garanzie applicabili
1. Le garanzie predisposte per prevenire abusi o l’accesso o il trasferimento illeciti nell’ambito delle indagini di cui all’articolo 1 sono le seguenti:
<table><col/><col/><tbody><tr><td><p>(a)</p></td><td><p>i documenti cartacei sono conservati sotto chiave in armadi accessibili soltanto a membri del personale autorizzati in base al principio della &#171;necessit&#224; di sapere&#187;. Il sistema di sicurezza dei locali, le politiche interne di gestione dei registri, la formazione del personale e gli audit sono anch&#8217;essi in atto per assicurare garanzie adeguate;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(b)</p></td><td><p>i fascicoli elettronici sono gestiti tramite dispositivi, sistemi informatici, applicazioni e risorse di archiviazione approvati dall&#8217;ABE. I dati personali sono archiviati in un ambiente elettronico sicuro, concepito e mantenuto in efficienza per impedire la distruzione, la perdita, la modifica e il trasferimento accidentali o illeciti, la divulgazione o l&#8217;accesso di partner interni ed esterni non autorizzati. Sono utilizzate le applicazioni del sistema di gestione documentale dell&#8217;ABE per organizzare, reperire, condividere, conservare e proteggere i dati elettronici dell&#8217;ABE. Al personale autorizzato dell&#8217;ABE &#232; concesso l&#8217;accesso ai dati elettronici solo in base al principio della necessit&#224; di sapere;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(c)</p></td><td><p>le banche dati e i fascicoli elettronici sono protetti da password nel quadro di un sistema di accesso &#171;Single Sign On&#187; e sono collegati automaticamente all&#8217;ID dell&#8217;utente e alla password. La sostituzione degli utenti &#232; rigorosamente vietata. I registri elettronici sono conservati in maniera sicura per tutelare la riservatezza e la segretezza dei dati contenuti;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(d)</p></td><td><p>tutte le persone aventi accesso ai dati sono soggette all&#8217;obbligo di riservatezza e firmano un documento in cui riconoscono tale obbligo e i requisiti indicati nel presente paragrafo.</p></td></tr></tbody></table>
2. Il titolare del trattamento è l’ABE, rappresentata dal suo direttore esecutivo. Gli interessati sono informati in merito ai titolari del trattamento delegati mediante i registri relativi alla protezione dei dati pubblicati sul sito internet dell’ABE.
3. Il periodo di conservazione dei dati personali non è superiore a quanto necessario e opportuno per le finalità del trattamento. Il periodo di conservazione è specificato nei registri relativi alla protezione dei dati e nelle informative sulla privacy di cui all’articolo 5, paragrafo 1.
4. Qualora l’ABE consideri di applicare una limitazione, si valuta il rischio per i diritti e le libertà dell’interessato, in particolare a fronte del rischio per i diritti e le libertà di altri interessati e del rischio di annullare gli effetti delle indagini o delle procedure dell’ABE, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e il diritto di essere ascoltato.
Articolo 3
Limitazioni
1. A norma dell’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, eventuali limitazioni vengono applicate dall’ABE esclusivamente per salvaguardare:
<table><col/><col/><tbody><tr><td><p>(a)</p></td><td><p>la prevenzione, l&#8217;indagine, l&#8217;accertamento e il perseguimento di reati o l&#8217;esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la relativa prevenzione, in particolare per quanto concerne i trattamenti di cui all&#8217;articolo&#160;1, paragrafo&#160;2, lettera&#160;b), della presente decisione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(b)</p></td><td><p>altri importanti obiettivi di interesse pubblico generale dell&#8217;Unione o di uno Stato membro, specialmente gli obiettivi della politica estera e di sicurezza comune dell&#8217;Unione o un rilevante interesse economico o finanziario dell&#8217;Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di salute pubblica e sicurezza sociale, in particolare per quanto concerne i trattamenti di cui all&#8217;articolo&#160;1, paragrafo&#160;3, della presente decisione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(c)</p></td><td><p>la sicurezza interna delle istituzioni e degli organismi dell&#8217;Unione, compresa quella delle relative reti di comunicazione elettronica, in particolare per quanto concerne i trattamenti di cui all&#8217;articolo&#160;1, paragrafo&#160;2, lettera&#160;c), della presente decisione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(d)</p></td><td><p>le attivit&#224; volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate, in particolare per quanto concerne i trattamenti di cui all&#8217;articolo&#160;1, paragrafo&#160;2, lettere&#160;a) e&#160;c), della presente decisione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(e)</p></td><td><p>una funzione di controllo, d&#8217;ispezione o di regolamentazione connessa, anche occasionalmente, all&#8217;esercizio di pubblici poteri nei casi di cui alle lettere&#160;a) e&#160;b), in particolare per quanto concerne i trattamenti di cui all&#8217;articolo&#160;1, paragrafo&#160;2, lettera&#160;d), della presente decisione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(f)</p></td><td><p>la tutela dell&#8217;interessato o dei diritti e delle libert&#224; altrui.</p></td></tr></tbody></table>
2. Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’ABE può applicare limitazioni riguardanti i dati personali scambiati con i servizi della Commissione o altre istituzioni, organi e organismi dell’Unione, autorità competenti degli Stati membri o paesi terzi o organizzazioni internazionali, qualora si verifichino una o più delle seguenti circostanze:
<table><col/><col/><tbody><tr><td><p>(a)</p></td><td><p>quando l&#8217;esercizio di tali diritti e obblighi potrebbe essere limitato dai servizi della Commissione o da altre istituzioni, organi e organismi dell&#8217;Unione in virt&#249; di altri motivi previsti dall&#8217;articolo&#160;25 del regolamento (UE)&#160;2018/1725, conformemente al capo&#160;IX di detto regolamento oppure sulla base degli atti costitutivi di altre istituzioni, organi e organismi dell&#8217;Unione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(b)</p></td><td><p>quando l&#8217;esercizio di tali diritti e obblighi potrebbe essere limitato dalle autorit&#224; competenti degli Stati membri sulla base degli atti di cui all&#8217;articolo&#160;23 del regolamento (UE)&#160;2016/679 del Parlamento europeo e del Consiglio o a norma delle disposizioni nazionali di recepimento dell&#8217;articolo&#160;13, paragrafo&#160;3, dell&#8217;articolo&#160;15, paragrafo&#160;3, o dell&#8217;articolo&#160;16, paragrafo&#160;3, della direttiva (UE)&#160;2016/680 del Parlamento europeo e del Consiglio;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(c)</p></td><td><p>quando l&#8217;esercizio di tali diritti e obblighi pregiudicherebbe la cooperazione dell&#8217;ABE con paesi terzi o organizzazioni internazionali nello svolgimento dei propri compiti o dei compiti di paesi terzi o organizzazioni internazionali.</p></td></tr></tbody></table>
Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’ABE consulta i servizi della Commissione, le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’ABE non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno degli atti di cui alle summenzionate lettere.
3. Le eventuali limitazioni sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.
4. Se è presa in considerazione la possibilità di applicare limitazioni, è effettuata una verifica della necessità e della proporzionalità sulla base delle presenti norme. Tale procedura è documentata mediante una nota di valutazione interna ed è effettuata caso per caso.
5. Le limitazioni sono revocate non appena le condizioni che le giustificano cessino di sussistere, in particolare laddove si ritenga che l’esercizio del diritto ristretto non annullerebbe più l’effetto della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.
Articolo 4
Revisione da parte del responsabile della protezione dei dati
1. Ogniqualvolta intenda limitare l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione, il titolare del trattamento ne informa senza indebito ritardo il RPD. Il titolare del trattamento fornisce al RPD l’accesso alla nota interna contenente la valutazione della necessità e della proporzionalità della limitazione nonché, ove applicabile, i relativi elementi di fatto e di diritto che ne costituiscono la base e documenta la data in cui ha informato il RPD.
2. Il RPD può chiedere per iscritto al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.
3. Il titolare del trattamento informa il RPD quando la limitazione viene revocata.
4. Il titolare del trattamento documenta il coinvolgimento del RPD durante le varie fasi del processo, a partire dalla data in cui ha informato il RPD.
5. La nota interna e, ove applicabile, gli elementi di fatto e di diritto che ne costituiscono la base sono messi a disposizione del Garante europeo della protezione dei dati su richiesta.
Articolo 5
Comunicazione di informazioni agli interessati
1. L’ABE pubblica sul proprio sito web i registri relativi alla protezione dei dati che informano tutti gli interessati delle proprie attività che comportano il trattamento di dati personali, comprese le informazioni relative alla potenziale limitazione dei diritti degli interessati a norma dell’articolo 3 della presente decisione. Tali informazioni riguardano i diritti che possono essere oggetto di limitazioni, i motivi per cui possono essere applicate tali limitazioni e la durata potenziale delle stesse.
2. L’ABE notifica a tutti gli interessati, ovvero le persone che considera interessate dall’indagine o dall’inchiesta, la documentazione relativa alla protezione dei dati personali riguardante i trattamenti specifici in questione, senza indebito ritardo e per iscritto.
3. In casi debitamente giustificati e alle condizioni prescritte dalla presente decisione, l’ABE può limitare, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2. In tal caso, l’Autorità registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.
4. La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano.
Laddove i motivi della limitazione non siano più d’applicazione, l’ABE notifica all’interessato la pertinente documentazione relativa alla protezione dei dati e le ragioni principali della limitazione. Tale notifica può essere accompagnata da un invito a presentare le conclusioni dell’indagine o dell’inchiesta in corso, nell’ambito dell’esercizio dei diritti di difesa dell’interessato in questione. Nel contempo, l’ABE informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.
Articolo 6
Diritto di accesso dell’interessato
1. A seguito di una richiesta dell’interessato, l’ABE può limitare, in tutto o in parte, il diritto dell’interessato in questione di ottenere la conferma se i dati personali che lo riguardano vengono o non vengono trattati dall’ABE nell’ambito di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione e, in tal caso, il diritto di accesso a tali dati e ad altre informazioni di cui all’articolo 17 del regolamento (UE) 2018/1725.
2. Nel caso in cui l’ABE limiti il diritto di accesso, l’Autorità informa l’interessato, nella propria risposta alla richiesta, in merito alla limitazione applicata e ai principali motivi della stessa, nonché alla possibilità di presentare reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
3. La comunicazione di informazioni di cui al paragrafo 2 può essere rinviata, omessa o negata se annullasse l’effetto della limitazione imposta in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725. Nel qual caso, l’ABE registra in una nota di valutazione interna i motivi della limitazione, compresa una valutazione della necessità, della proporzionalità della limitazione e della sua durata.
4. L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.
Articolo 7
Diritto di rettifica, cancellazione e limitazione del trattamento
1. A seguito di una richiesta dell’interessato, l’ABE può, nell’ambito di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione, limitare, in tutto o in parte, il diritto di tale interessato a ottenere la rettifica dei dati personali che lo riguardano, a cancellare o a limitare il trattamento dei suoi dati personali come previsto dagli articoli 18, 19 e 20 del regolamento (UE) 2018/1725.
2. Laddove l’ABE limiti l’applicazione del diritto di rettifica, cancellazione o limitazione del trattamento di cui sopra, l’Autorità adotta i provvedimenti di cui all’articolo 6, paragrafo 2 e documenta i motivi della limitazione a norma dell’articolo 6, paragrafo 3.
3. L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.
Articolo 8
Comunicazione di una violazione di dati personali all’interessato
1. L’ABE comunica una violazione dei dati personali all’interessato senza indebito ritardo qualora tale violazione presenti verosimilmente un rischio elevato per i diritti e le libertà delle persone fisiche, come previsto dall’articolo 35 del regolamento (UE) 2018/1725.
2. In casi debitamente giustificati e alle condizioni previste nella presente decisione, l’ABE può limitare, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 1 del presente articolo. In tal caso, l’Autorità registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.
3. La limitazione di cui al paragrafo 2 continua ad applicarsi finché permangono i motivi che la giustificano.
Laddove i motivi della limitazione non siano più d’applicazione, l’ABE comunica la violazione dei dati personali all’interessato in questione informandolo dei motivi principali della limitazione. Nel contempo, l’ABE informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.
Articolo 9
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Fatto a Parigi, il 23 aprile 2021.
Per il consiglio di amministrazione
José Manuel CAMPA
Il presidente
<note>
( 1 ) () GU L 295 del 21.11.2018, pag. 39 .
( 2 ) () GU L 331 del 15.12.2010, pag. 12 .
</note>