REGOLAMENTO INTERNO RELATIVO AL TRATTAMENTO E ALLA PROTEZIONE DEI DATI PERSONALI PRESSO EUROJUST

IL COLLEGIO DI EUROJUST,

visto il regolamento (UE) 2018/1727 del Parlamento europeo e del Consiglio, del 14 novembre 2018, che istituisce l’Agenzia dell’Unione europea per la cooperazione giudiziaria penale (Eurojust) e che sostituisce e abroga la decisione 2002/187/GAI del Consiglio, in seguito denominato «regolamento Eurojust»,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE, in seguito denominato «regolamento 2018/1725»,

visto il regolamento interno di Eurojust approvato dal Consiglio il 20 dicembre 2019 con decisione di esecuzione (UE) 2019/2250 del 19 dicembre 2019 e adottato dal collegio il 20 dicembre 2019, in particolare l’articolo 17,

visti i pareri dell’autorità di controllo comune emessi il 28 ottobre 2019 e l’11 dicembre 2019,

visto il parere del Garante europeo della protezione dei dati emesso il 13 dicembre 2019,

tenuto conto dell’approvazione del Consiglio con decisione di esecuzione (UE) 2019/2250 del 19 dicembre 2019,

HA ADOTTATO IL REGOLAMENTO INTERNO RELATIVO AL TRATTAMENTO E ALLA PROTEZIONE DEI DATI PERSONALI PRESSO EUROJUST IL 20 DICEMBRE 2019:

TITOLO I

AMBITO DI APPLICAZIONE, STRUTTURA E DEFINIZIONI

2. Il regolamento interno si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

1. Il regolamento interno relativo al trattamento e alla protezione dei dati personali presso Eurojust (in seguito denominato «regolamento interno») attua le disposizioni in materia di protezione dei dati del regolamento Eurojust e del regolamento 2018/1725.

TITOLO II

NORME RELATIVE AI TRATTAMENTI DI DATI PERSONALI OPERATIVI

CAPO I

Principi generali applicabili al trattamento di dati personali operativi

Per quanto riguarda il trattamento di dati personali operativi, Eurojust agisce in qualità di titolare del trattamento dei dati tramite i membri nazionali che, a norma dell’articolo 24, paragrafo 1, del regolamento Eurojust sono responsabili della gestione dei casi da essi aperti nell’esercizio dei loro compiti definiti dal regolamento Eurojust, oppure da essi avviati laddove Eurojust agisca tramite il collegio ai sensi dell’articolo 5, paragrafo 2, lettera a), del regolamento Eurojust.

Tutti i responsabili di Eurojust sono adeguatamente informati in merito alla politica dell’Eurojust in materia di sicurezza e sono tenuti ad avvalersi delle misure tecniche e organizzative messe a loro disposizione, anche a seguito della necessaria formazione, in linea con i requisiti applicabili in materia di protezione e sicurezza dei dati.

CAPO II

Diritti degli interessati

5. Il responsabile della protezione dei dati comunica la decisione presa dal membro o dai membri nazionali interessati per conto di Eurojust all’interessato e informa quest’ultimo della possibilità di proporre reclamo al GEPD se la decisione non lo soddisfa, oppure di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia.

2. Il membro o i membri nazionali interessati consultano le autorità competenti degli Stati membri in merito alla decisione da prendere in risposta a una richiesta.

Procedura per l’esercizio dei diritti degli interessati in caso di trattamento di dati personali operativi

Eurojust predispone adeguate misure tecniche per garantire che, nei casi in cui Eurojust rettifichi, limiti o cancelli dati personali a seguito di una richiesta, venga elaborato automaticamente un elenco dei fornitori e dei destinatari di tali dati.

CAPO III

Il sistema di gestione dei fascicoli

5. Se, conformemente all’articolo 23, paragrafo 6, del regolamento Eurojust, desiderano conservare temporaneamente e analizzare dati personali per determinare se siano rilevanti ai fini dei compiti di Eurojust, i membri nazionali creano un progetto di archivio di lavoro temporaneo accessibile solo ad essi e alle persone da essi autorizzate nell’ambito del profilo del loro ufficio. Dopo tre mesi il progetto di archivio di lavoro temporaneo deve essere convertito in un archivio di lavoro temporaneo nel sistema di gestione dei fascicoli o è automaticamente eliminato dal sistema. Prima che sia trascorso tale termine, il sistema invia un’allerta al membro nazionale interessato per ricordargli la necessità di prendere una decisione sul progetto di archivio.

2. Quando un membro nazionale responsabile della gestione di un archivio di lavoro temporaneo ai sensi dell’articolo 24, paragrafo 1, del regolamento Eurojust concede a uno o più membri nazionali interessati l’accesso a un archivio di lavoro temporaneo, o a parte di esso, il sistema di gestione dei fascicoli assicura che gli utenti autorizzati in base al profilo dell’ufficio nazionale sotto la responsabilità del membro nazionale abbiano accesso alle parti pertinenti dell’archivio, ma non possano modificare i dati introdotti dall’autore originale. Gli utenti autorizzati possono tuttavia aggiungere qualsiasi informazione pertinente alle parti nuove degli archivi di lavoro temporanei. Analogamente, le informazioni contenute nell’indice possono essere consultate da tutti gli utenti autorizzati del sistema, ma possono essere modificate solo dall’autore originale.

2. Se i summenzionati dati si riferiscono a testimoni o vittime ai sensi dell’articolo 27, paragrafo 2, del regolamento Eurojust, il sistema di gestione dei fascicoli non registra tali informazioni a meno che i membri nazionali interessati non decidano diversamente. La decisione di trattare tali dati deve essere documentata.

1. Eurojust adotta adeguate misure tecniche per assicurare che il responsabile della protezione dei dati sia automaticamente informato dei casi eccezionali in cui è fatto ricorso all’articolo 27, paragrafo 4, del regolamento Eurojust. Il sistema di gestione dei fascicoli assicura che tali dati non possano essere inclusi nell’indice di cui all’articolo 23, paragrafi 1 e 4, del regolamento Eurojust.

2. Se i summenzionati dati si riferiscono a testimoni o vittime ai sensi dell’articolo 27, paragrafo 2, del regolamento Eurojust, il sistema di gestione dei fascicoli non registra tali informazioni a meno che i membri nazionali interessati non decidano diversamente. La decisione di trattare tali dati deve essere documentata.

1. Eurojust adotta adeguate misure tecniche per assicurare che il responsabile della protezione dei dati sia automaticamente informato dei casi eccezionali in cui è fatto ricorso, per un periodo di tempo limitato, all’articolo 27, paragrafo 3, del regolamento Eurojust. Il sistema di gestione dei fascicoli contrassegna tali dati in modo da ricordare alla persona che li ha introdotti nel sistema l’obbligo di mantenerveli per un periodo di tempo limitato.

3. I membri nazionali assicurano che siano adottate ed osservate appropriate disposizioni organizzative all’interno dei loro uffici e che siano utilizzate in modo corretto, anche a seguito della necessaria formazione, le misure tecniche ed organizzative messe a loro disposizione da Eurojust.

2. I membri nazionali possono decidere, caso per caso, di concedere un’autorizzazione specifica per l’accesso a un archivio di lavoro temporaneo, o a parti di esso, a una persona che non è un membro del personale di Eurojust, ma che lavora per conto di Eurojust e fa parte di una categoria specifica di responsabili precedentemente autorizzati dal direttore amministrativo di Eurojust, in conformità dell’articolo 24, paragrafo 2, del regolamento Eurojust, ad ottenere l’accesso al sistema di gestione dei fascicoli.

CAPO IV

Trasferimenti di dati verso paesi terzi od organizzazioni internazionali

3. La valutazione da parte del responsabile della protezione dei dati verte, in particolare, sulle questioni di cui ai considerando 51 e 52 del regolamento Eurojust. Qualora abbia riserve in sede di valutazione dell’adeguatezza delle garanzie nel caso di specie, il responsabile della protezione dei dati può consultare il GEPD prima di emettere una valutazione su uno specifico trasferimento.

2. La valutazione di cui al paragrafo 1 è fornita dal responsabile della protezione dei dati entro dieci giorni lavorativi. Se necessario per ragioni di urgenza indicate dal membro o dai membri nazionali interessati, la valutazione è fornita quanto prima possibile. In casi particolarmente complessi, il responsabile della protezione dei dati può concordare un termine più lungo per il completamento della valutazione con il membro o i membri nazionali interessati.

CAPO V

Termini

Articolo 16

Termini per la conservazione dei dati personali operativi

1. Eurojust mette a punto adeguate misure tecniche per garantire che siano osservati i termini per la conservazione dei dati personali operativi di cui all’articolo 29 del regolamento Eurojust e che, in mancanza di una decisione motivata sull’ulteriore conservazione dei dati personali operativi al momento della verifica, tali dati siano automaticamente eliminati.

2. Il sistema di gestione dei fascicoli assicura, in particolare, che la necessità di conservare i dati in un archivio di lavoro temporaneo sia verificata ogni tre anni dopo il loro inserimento. Detta verifica dev’essere adeguatamente documentata nel sistema, anche per quanto riguarda la motivazione di una decisione presa sull’ulteriore conservazione dei dati personali operativi, ed è comunicata automaticamente al responsabile della protezione dei dati. Gli effetti di una tale decisione, o della mancanza della stessa, si applicano al caso nel suo complesso ai sensi dell’articolo 29, paragrafo 2, del regolamento Eurojust.

3. Il sistema di gestione dei fascicoli contrassegna, in particolare, i dati registrati per un periodo di tempo limitato in conformità dell’articolo 27, paragrafo 3, del regolamento Eurojust nonché i dati di cui all’articolo 27, paragrafo 4, di detto regolamento. Se i dati personali operativi di cui all’articolo 27, paragrafo 4, sono conservati per un periodo superiore a cinque anni, il sistema di gestione dei fascicoli genera un’allerta per assicurare che tali informazioni siano automaticamente trasmesse al GEPD.