Document ID: 32020Q1120(02)
Language: ITA

<table><col/><col/><col/><col/><tbody><tr><td><p>20.11.2020&#160;&#160;&#160;</p></td><td><p>IT</p></td><td><p>Gazzetta ufficiale dell&#8217;Unione europea</p></td><td><p>L 391/12</p></td></tr></tbody></table>
DECISIONE DEL CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE PER L’INIZIATIVA IN MATERIA DI MEDICINALI INNOVATIVI 2
dell’11 agosto 2020
che stabilisce le norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento dell’impresa comune IMI 2
IL CONSIGLIO DI DIREZIONE DELL’IMPRESA COMUNE IMI 2 (in appresso «l’impresa comune IMI 2»),
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( 1 ) , in particolare l’articolo 25,
visto lo statuto allegato al regolamento (UE) n. 557/2014 del Consiglio, del 6 maggio 2014, che istituisce l’impresa comune per l’iniziativa in materia di medicinali innovativi 2 ( 2 ) , in particolare l’articolo 7, paragrafo 3, lettera r),
visti gli orientamenti del Garante europeo della protezione dei dati (GEPD) sull’articolo 25 del nuovo regolamento e le norme interne,
previa consultazione del comitato del personale dell’impresa comune IMI 2,
viste le raccomandazioni del GEPD del 18 dicembre 2019,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>(1)</p></td><td><p>L&#8217;impresa comune IMI 2 svolge le sue attivit&#224; in conformit&#224; del regolamento (UE) n. 557/2014.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(2)</p></td><td><p>In conformit&#224; dell&#8217;articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, le limitazioni nell&#8217;applicazione degli articoli da 14 a 22 e degli articoli 35 e 36, nonch&#233; dell&#8217;articolo 4 del medesimo regolamento, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22, dovrebbero basarsi su norme interne adottate dall&#8217;impresa comune IMI 2, qualora non si fondino su atti giuridici adottati sulla base dei trattati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(3)</p></td><td><p>Queste norme interne, comprese le disposizioni sulla valutazione della necessit&#224; e della proporzionalit&#224; di una limitazione, non dovrebbero applicarsi qualora un atto giuridico adottato sulla base dei trattati preveda una limitazione dei diritti degli interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(4)</p></td><td><p>Quando esercita le sue funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l&#8217;impresa comune IMI 2 valuta se sia applicabile una delle deroghe previste in tale regolamento.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(5)</p></td><td><p>Nel quadro del suo funzionamento amministrativo, l&#8217;impresa comune IMI 2 pu&#242; condurre indagini amministrative e procedimenti disciplinari, svolgere attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, trattare denunce di irregolarit&#224; (<span>whistleblowing</span>), procedure (formali e informali) per molestie e reclami interni ed esterni, effettuare audit interni, condurre indagini svolte dal responsabile della protezione dei dati, conformemente all&#8217;articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, nonch&#233; indagini interne sulla sicurezza (IT).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(6)</p></td><td><p>L&#8217;impresa comune IMI 2 tratta diverse categorie di dati personali, tra cui dati controllati (dati &#171;oggettivi&#187; quali dati d&#8217;identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e dati non controllati (dati &#171;soggettivi&#187; riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su attivit&#224; e prestazioni e dati relativi o presentati in relazione all&#8217;oggetto del procedimento o dell&#8217;attivit&#224;)&#160;<a>(<span>3</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(7)</p></td><td><p>L&#8217;impresa comune IMI 2, rappresentata dal suo direttore esecutivo, agisce in qualit&#224; di titolare del trattamento, indipendentemente dalle ulteriori deleghe di tale ruolo al proprio interno, al fine di riflettere le responsabilit&#224; operative riguardanti specifiche attivit&#224; di trattamento dei dati personali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(8)</p></td><td><p>I dati personali sono conservati in modo sicuro in un ambiente elettronico o in formato cartaceo, impedendo l&#8217;accesso illecito o il trasferimento dei dati a persone che non hanno necessit&#224; di venirne a conoscenza. I dati personali trattati sono conservati solo per il periodo di tempo necessario e opportuno per le finalit&#224; del trattamento come specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri dell&#8217;impresa comune IMI 2.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(9)</p></td><td><p>Le norme interne dovrebbero applicarsi a tutti i trattamenti dei dati effettuati dall&#8217;impresa comune IMI 2 quando conduce indagini amministrative, procedimenti disciplinari, attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF, procedure in materia di denunce di irregolarit&#224; (<span>whistleblowing</span>) e procedure (formali e informali) per casi di molestia, quando tratta reclami interni ed esterni, audit interni, indagini svolte dal responsabile della protezione dei dati, conformemente all&#8217;articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, nonch&#233; indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(10)</p></td><td><p>Queste norme interne dovrebbero applicarsi alle operazioni di trattamento effettuate prima dell&#8217;avvio delle procedure di cui sopra, nel corso del loro svolgimento e durante il monitoraggio del seguito dei relativi risultati. Dovrebbero essere comprese altres&#236; l&#8217;assistenza e la cooperazione fornite dall&#8217;impresa comune IMI 2 alle autorit&#224; nazionali e alle organizzazioni internazionali al di fuori delle proprie indagini amministrative.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(11)</p></td><td><p>Nei casi in cui si applicano tali norme interne, l&#8217;impresa comune IMI 2 deve fornire giustificazioni sul motivo per cui tali limitazioni siano strettamente necessarie e proporzionate in una societ&#224; democratica e rispettino l&#8217;essenza dei diritti e delle libert&#224; fondamentali.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(12)</p></td><td><p>In questo quadro, l&#8217;impresa comune IMI 2 &#232; tenuta a rispettare, nella misura pi&#249; ampia possibile, i diritti fondamentali degli interessati durante i citati procedimenti, in particolare il diritto alla comunicazione di informazioni, il diritto di accesso e rettifica, il diritto alla cancellazione e il diritto di limitazione del trattamento, il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato o il diritto alla riservatezza delle comunicazioni sanciti nel regolamento (UE) 2018/1725.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(13)</p></td><td><p>Tuttavia, l&#8217;impresa comune IMI 2 pu&#242; essere costretta a limitare le informazioni all&#8217;interessato e altri suoi diritti per proteggere, in particolare, le proprie indagini, le indagini e i procedimenti di altre autorit&#224; pubbliche, nonch&#233; i diritti di altre persone coinvolte nelle sue indagini o in altre procedure.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(14)</p></td><td><p>L&#8217;impresa comune IMI 2 pu&#242; quindi limitare le informazioni allo scopo di proteggere l&#8217;indagine cos&#236; come i diritti e le libert&#224; fondamentali di altri interessati.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(15)</p></td><td><p>L&#8217;impresa comune IMI 2 dovrebbe monitorare periodicamente che le condizioni che giustificano la limitazione continuino ad applicarsi e revocare la limitazione non appena queste cessano di sussistere.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(16)</p></td><td><p>Il titolare del trattamento dovrebbe informare il responsabile della protezione dei dati al momento del rinvio e durante le revisioni,</p></td></tr></tbody></table>
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto e ambito di applicazione
1. La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune IMI 2, nel quadro delle sue procedure stabilite al paragrafo 2, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 22 e negli articoli 35 e 36, nonché nell’articolo 4, del regolamento (UE) 2018/1725 in base all’articolo 25 di detto regolamento.
2. Nel quadro del funzionamento amministrativo dell’impresa comune IMI 2, la presente decisione si applica ai trattamenti dei dati personali svolti dall’ufficio di programma al fine di condurre indagini amministrative, procedimenti disciplinari, attività preliminari riguardanti casi di potenziali irregolarità segnalate all’OLAF, trattare denunce di irregolarità ( whistleblowing ), procedure (formali e informali) per molestie, reclami interni ed esterni, effettuare audit interni, indagini svolte dal responsabile della protezione dei dati, conformemente all’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, e indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).
3. Le categorie di dati interessate sono i dati controllati (dati «oggettivi» quali dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e dati non controllati (dati «soggettivi» riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su attività e prestazioni e dati relativi o presentati in relazione all’oggetto della procedura o dell’attività).
4. Quando esercita le sue funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune IMI 2 valuta se sia applicabile una delle deroghe previste in tale regolamento.
5. Fatte salve le condizioni stabilite nella presente decisione, le limitazioni possono essere applicate ai seguenti diritti: comunicazione di informazioni agli interessati, diritto di accesso, rettifica, cancellazione, limitazione del trattamento, comunicazione di una violazione dei dati personali all’interessato o riservatezza delle comunicazioni.
Articolo 2
Indicazione precisa del titolare del trattamento
Il titolare del trattamento è l’impresa comune IMI 2, rappresentata dal suo direttore esecutivo che può delegare la funzione di titolare. Gli interessati sono informati riguardo al titolare del trattamento delegato attraverso comunicazioni sulla protezione dei dati o registri pubblicati nel sito web e/o sull’Intranet dell’impresa comune IMI 2.
Articolo 3
Garanzie
1. L’impresa comune IMI 2 predispone le seguenti garanzie destinate a prevenire abusi, accessi o trasferimenti illeciti di dati personali ( 4 ) :
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>i documenti cartacei sono conservati in armadi sicuri e accessibili soltanto al personale autorizzato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>tutti i dati elettronici sono memorizzati in un&#8217;applicazione informatica sicura conformemente agli standard di sicurezza dell&#8217;impresa comune IMI 2 e in cartelle elettroniche specifiche accessibili unicamente al personale autorizzato. Sono concessi appropriati livelli di accesso su base individuale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>la banca dati &#232; protetta da password nell&#8217;ambito di un sistema di accesso SSO (<span>Single Sign On</span>) ed &#232; collegata automaticamente all&#8217;ID e alla password dell&#8217;utente. La sostituzione degli utenti &#232; rigorosamente vietata. I registri elettronici sono conservati in maniera sicura per tutelare la riservatezza e la segretezza dei dati contenuti;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>tutte le persone che hanno accesso ai dati hanno l&#8217;obbligo della riservatezza.</p></td></tr></tbody></table>
2. Il periodo di conservazione dei dati personali di cui all’articolo 1, paragrafo 3, non deve essere più lungo di quanto necessario e adeguato per le finalità del trattamento. In ogni caso, non deve superare il periodo di conservazione specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri di cui all’articolo 6.
3. Qualora l’impresa comune IMI 2 consideri di applicare una limitazione, viene valutato il rischio per i diritti e le libertà dell’interessato, in particolare rispetto al rischio per i diritti e le libertà degli altri interessati e al rischio di annullare gli effetti delle indagini o delle procedure dell’impresa comune IMI 2, ad esempio distruggendo elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e il diritto di essere ascoltato.
Articolo 4
Limitazioni
1. Eventuali limitazioni sono applicate dall’impresa comune IMI 2 esclusivamente per salvaguardare:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>la sicurezza nazionale, la sicurezza pubblica o la difesa degli Stati membri;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>la prevenzione, l&#8217;indagine, l&#8217;accertamento e il perseguimento di reati o l&#8217;esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la relativa prevenzione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>altri importanti obiettivi di interesse pubblico generale dell&#8217;Unione o di uno Stato membro, in particolare gli obiettivi della politica estera e di sicurezza comune dell&#8217;Unione o un rilevante interesse economico o finanziario dell&#8217;Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanit&#224; pubblica e sicurezza sociale;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>la sicurezza interna delle istituzioni e degli organismi dell&#8217;Unione, comprese le relative reti di comunicazione elettronica;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>le attivit&#224; volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>una funzione di controllo, d&#8217;ispezione o di regolamentazione connessa, anche occasionalmente, all&#8217;esercizio di pubblici poteri nei casi di cui alle lettere da a) a c);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>la tutela dell&#8217;interessato o dei diritti e delle libert&#224; altrui;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>l&#8217;esecuzione delle azioni civili.</p></td></tr></tbody></table>
2. Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’impresa comune IMI 2 può applicare limitazioni nei seguenti casi:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>in relazione ai dati personali scambiati con i servizi della Commissione o con altre istituzioni, organi, organismi e uffici dell&#8217;Unione;</p><table><col/><col/><tbody><tr><td><p>&#8212;</p></td><td><p>qualora tali servizi della Commissione o istituzioni, organi e organismi dell&#8217;Unione abbiano il diritto di limitare l&#8217;esercizio dei diritti elencati in virt&#249; di altri motivi di cui all&#8217;articolo 25 del regolamento (UE) 2018/1725 o conformemente al capo IX di detto regolamento o ancora sulla base degli atti costitutivi di altre istituzioni, organi, organismi e uffici dell&#8217;Unione;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>&#8212;</p></td><td><p>qualora la finalit&#224; di una simile limitazione da parte di tale servizio della Commissione, istituzione, organo o organismo dell&#8217;Unione sia messa a repentaglio dalla mancata applicazione di una limitazione equivalente da parte dell&#8217;impresa comune IMI 2 per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>in relazione ai dati personali scambiati con le autorit&#224; competenti degli Stati membri;</p><table><col/><col/><tbody><tr><td><p>&#8212;</p></td><td><p>qualora tali autorit&#224; competenti degli Stati membri abbiano il diritto di limitare l&#8217;esercizio dei diritti elencati in virt&#249; dei motivi previsti all&#8217;articolo 23 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio&#160;<a>(<span>5</span>)</a> o a norma delle disposizioni nazionali di recepimento dell&#8217;articolo 13, paragrafo 3, dell&#8217;articolo 15, paragrafo 3, o dell&#8217;articolo 16, paragrafo 3, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio&#160;<a>(<span>6</span>)</a>;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>&#8212;</p></td><td><p>qualora la finalit&#224; di una simile limitazione perseguita da tale autorit&#224; competente venisse compromessa dalla mancata applicazione di una limitazione equivalente da parte dell&#8217;impresa comune IMI 2 per i medesimi dati personali;</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>in relazione ai dati personali scambiati con paesi terzi o organizzazioni internazionali, qualora vi siano prove chiare che l&#8217;esercizio di tali diritti e obblighi potrebbe pregiudicare la cooperazione dell&#8217;impresa comune IMI 2 con paesi terzi o organizzazioni internazionali nello svolgimento dei suoi compiti.</p></td></tr></tbody></table>
Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’impresa comune IMI 2 consulta i servizi della Commissione, le istituzioni, gli organi, gli organismi o gli uffici pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’impresa comune IMI 2 non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle lettere summenzionate.
Articolo 5
Limitazioni ai diritti degli interessati
1. In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, i seguenti diritti possono essere limitati dal titolare del trattamento, laddove necessario e proporzionato, nel contesto dei trattamenti elencati al successivo paragrafo 2:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il diritto all&#8217;informazione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>il diritto di accesso;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il diritto di rettifica, cancellazione e limitazione del trattamento;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>il diritto di comunicazione di una violazione dei dati personali all&#8217;interessato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>il diritto alla riservatezza delle comunicazioni elettroniche.</p></td></tr></tbody></table>
2. A norma dell’articolo 25, paragrafo 2, lettera a), del regolamento (UE) 2018/1725, in casi debitamente giustificati e alle condizioni stabilite dalla presente decisione, il responsabile del trattamento può applicare limitazioni nel contesto dei seguenti trattamenti:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>svolgimento di indagini amministrative e procedimenti disciplinari;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>attivit&#224; preliminari riguardanti casi di potenziali irregolarit&#224; segnalate all&#8217;OLAF;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>procedure in materia di denunce di irregolarit&#224; (<span>whistleblowing</span>);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>procedure formali e informali per casi di molestia&#160;<a>(<span>7</span>)</a>;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>trattamento di reclami interni ed esterni;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>audit interni;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>le indagini svolte dal responsabile della protezione dei dati, conformemente all&#8217;articolo 45, paragrafo 2, del regolamento (UE) 2018/1725;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>nell&#8217;ambito della procedura di gestione delle sovvenzioni o di aggiudicazione degli appalti, alla scadenza del termine per la presentazione delle proposte o delle offerte&#160;<a>(<span>8</span>)</a>.</p></td></tr></tbody></table>
La limitazione continua ad applicarsi finché permangono i motivi che la giustificano.
3. Qualora limiti, in tutto o in parte, l’applicazione dei diritti di cui al paragrafo 1, l’impresa comune IMI 2 adotta le misure di cui agli articoli 6 e 7 della presente decisione.
4. Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o di un’operazione di trattamento specifica, l’impresa comune IMI 2 limita la propria valutazione della richiesta esclusivamente a tali dati personali.
Articolo 6
Necessità e proporzionalità delle limitazioni
1. Le eventuali limitazioni di cui all’articolo 5 sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.
2. Se si considera l’applicazione di limitazioni, va effettuata una verifica della necessità e della proporzionalità sulla base delle presenti norme. La verifica va condotta anche nell’ambito del riesame periodico, dopo aver valutato se le ragioni di fatto e di diritto di una restrizione siano ancora applicabili. Il risultato di tale valutazione è documentato mediante una nota di valutazione interna al fine di rendere conto, caso per caso, del proprio operato.
3. Le limitazioni sono temporanee e revocate non appena le condizioni che le giustificano cessano di sussistere. Ciò vale in particolare laddove si ritenga che l’effetto della limitazione imposta non sia più annullato o che i diritti e le libertà di altri interessati non siano più lesi dall’esercizio del diritto limitato.
L’impresa comune IMI 2 riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente, il titolare del trattamento valuta, ogni sei mesi, la necessità di mantenere eventuali limitazioni.
4. Qualora l’impresa comune IMI 2 applichi, integralmente o in parte, le limitazioni di cui all’articolo 5 della presente decisione, essa registra i motivi della limitazione, il motivo giuridico conformemente al precedente paragrafo 1, compresa una valutazione della necessità e della proporzionalità della limitazione.
La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.
Articolo 7
Obbligo di informazione
1. Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri, ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’Intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune IMI 2 include informazioni riguardanti le potenziali limitazioni di questi diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.
Fatte salve le disposizioni di cui all’articolo 6, paragrafo 4, se ciò è proporzionato, l’impresa comune IMI 2 informa anche singolarmente tutti gli interessati, considerati persone interessate nella specifica operazione di trattamento, dei loro diritti riguardanti le limitazioni attuali o future senza indebito ritardo e per iscritto.
2. Qualora l’impresa comune IMI 2 limiti, in tutto o in parte, i diritti di cui all’articolo 5, essa informa l’interessato in merito alla limitazione applicata e ai principali motivi della stessa, come pure alla possibilità di presentare reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
In conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, la comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione.
Articolo 8
Riesame da parte del responsabile della protezione dei dati
1. L’impresa comune IMI 2 informa senza indebito ritardo il proprio responsabile della protezione dei dati (RPD) ogniqualvolta il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce all’RPD l’accesso al registro che contiene la valutazione della necessità e della proporzionalità della limitazione e documenta nel registro la data in cui ha informato l’RPD.
2. L’RPD può chiedere al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto l’RPD circa l’esito del riesame richiesto.
3. Il RPD viene coinvolto durante l’intera procedura. Il titolare del trattamento informa l’RPD quando la limitazione viene revocata.
Articolo 9
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Fatto a Bruxelles, l’11 agosto 2020
Per il consiglio di direzione dell’impresa comune IMI 2
Olivier LAUREAU
Presidente
<note>
( 1 ) GU L 295 del 21.11.2018, pag. 39 .
( 2 ) GU L 169 del 7.6.2014, pag. 54 .
( 3 ) Nei casi di contitolarità del trattamento, i dati sono trattati in linea con i mezzi e le finalità stabiliti nell’accordo pertinente tra i contitolari del trattamento di cui all’articolo 28 del regolamento (UE) 2018/1725.
( 4 ) Questo elenco non è esaustivo.
( 5 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
( 6 ) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU L 119 del 4.5.2016, pag. 89 ).
( 7 ) Il trattamento in questione non si applica all’articolo 5, paragrafo 1, lettera d).
( 8 ) Il trattamento in questione si applica esclusivamente all’articolo 5, paragrafo 1, lettera c).
</note>