IT Gazzetta ufficiale dell'Unione europea C 308/8

Decisione dell’Alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza

dell’8 dicembre 2011

sulle norme relative alla protezione dei dati

2012/C 308/07

L’ALTO RAPPRESENTANTE,

vista la decisione del Consiglio, del 26 luglio 2010, che fissa l’organizzazione e il funzionamento del servizio europeo per l’azione esterna (2010/427/UE), (in appresso: «decisione del Consiglio sul SEAE»), in particolare l’articolo 11, paragrafo 3,

HA ADOTTATO LA PRESENTE DECISIONE:

SEZIONE 1

DISPOSIZIONI GENERALI

Articolo 1

Oggetto e campo d’applicazione

La presente decisione stabilisce le norme d’attuazione del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (in appresso: «il regolamento») per quanto riguarda il Servizio europeo per l’azione esterna, conformemente all’articolo 24, paragrafo 8 del regolamento.

Articolo 2

Definizioni

Ai fini della presente decisione, e ferme restando le definizioni stabilite nel regolamento, si intende per:

a) «responsabile del trattamento»: il SEAE, i suoi direttori operativi, direttori o i capi di servizi di dimensioni o funzioni equivalenti, così come i capi delle Delegazioni dell’Unione che, singolarmente o insieme ad altri, determinano le finalità e gli strumenti del trattamento di dati personali;

b) «coordinatore per la protezione dei dati»: un membro del personale del SEAE, della categoria AD, incaricato di coordinare e di fornire assistenza per le questioni relative alla protezione dei dati a livello delle direzioni o di servizi di dimensioni o funzioni equivalenti, così come, se necessario, nelle Delegazioni dell’Unione;

c) «incaricato del trattamento»: un membro del personale del SEAE o di entità sotto contratto incaricato dal responsabile del trattamento di svolgere compiti di trattamento di dati;

d) «personale del SEAE»: ai sensi dell’articolo 6 della decisione del Consiglio sul SEAE, i funzionari e altri agenti dell’Unione europea che lavorano per il SEAE, tra cui i membri dei servizi diplomatici degli Stati membri nominati agenti temporanei e gli esperti nazionali distaccati.

SEZIONE 2

IL RESPONSABILE DELLA PROTEZIONE DEI DATI

Articolo 3

Nomina e status del responsabile della protezione dei dati (RPD)

1. Il direttore esecutivo (DE) sceglie e nomina l’RPD conformemente all’articolo 24, paragrafo 2 del regolamento e ne comunica la nomina al garante europeo per la protezione dei dati (GEPD). L’RPD è alle dirette dipendenze del DE.

2. Il mandato del RPD è di cinque anni, rinnovabile una volta.

3. Nell’esercizio delle sue funzioni l’RPD agisce in modo indipendente e in cooperazione con il GEPD. Non può in particolare ricevere istruzioni dall’autorità investita del potere di nomina del SEAE né da chiunque altro per quanto riguarda l’applicazione interna delle disposizioni del regolamento e della presente decisione o la sua cooperazione con il GEPD. L’RPD partecipa periodicamente a sessioni di formazione in materia di protezione dei dati e il DE adotta le misure necessarie a tal fine.

4. Il DE valuta annualmente l’esecuzione dei compiti e delle altre funzioni dell’RPD, in particolare sulla base della relazione annuale di quest’ultimo, previa consultazione, se del caso, del GEPD. L’RPD può essere destituito dalle sue funzioni solo col consenso del GEPD, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni.

5. Ferma restando la procedura prevista per la sua nomina, l’RPD è informato in merito a tutti i contatti stabiliti con parti esterne per quanto riguarda l’applicazione del regolamento e della presente decisione, in particolare per quanto riguarda l’interazione con il GEPD.

6. Ferme restando le pertinenti disposizioni del regolamento, l’RPD e il suo personale sono soggetti alla normativa relativa ai funzionari e agli altri agenti dell’Unione europea.

Articolo 4

Compiti

L’RPD:

a) garantisce che i responsabili del trattamento, i coordinatori per la protezione dei dati e gli interessati siano informati dei propri diritti ed obblighi ai sensi del regolamento e della presente decisione, e che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati. Nell’espletamento di tale compito elabora in particolare formulari di informazione e notificazione, consulta le parti interessate e fa opera di sensibilizzazione sulle questioni relative alla protezione dei dati;

b) risponde alle richieste del GEPD e, nell’ambito delle sue competenze, coopera con il GEPD su richiesta di quest’ultimo o di propria iniziativa;

c) garantisce in maniera indipendente che le disposizioni del regolamento e della presente decisione vengano applicate all’interno del SEAE;

d) tiene il registro di tutte le operazioni effettuate dal SEAE e ne consente la consultazione a chiunque direttamente o indirettamente tramite il GEPD, conformemente agli articoli 14 e 15. Tale registro può anche essere tenuto in formato elettronico;

e) notifica al GEPD i trattamenti che possono presentare rischi specifici ai sensi dell’articolo 27, paragrafo 2 del regolamento.

Articolo 5

Altre funzioni

1. Oltre ad assolvere i compiti di cui all’articolo 4, l’RPD:

a) funge da consulente per l’autorità che ha il potere di nomina del SEAE e per i responsabili del trattamento su questioni relative all’applicazione del regolamento e della presente decisione. L’RPD può essere consultato dall’autorità che ha il potere di nomina, dai responsabili del trattamento e dagli incaricati del trattamento interessati, dal comitato del personale e da qualsiasi membro del personale del SEAE, senza seguire la via gerarchica, su qualsiasi aspetto riguardante l’interpretazione o l’applicazione del regolamento e della presente decisione;

b) indaga, di propria iniziativa o su iniziativa dell’autorità che ha il potere di nomina, dei responsabili del trattamento, degli incaricati del trattamento, del comitato del personale o di qualsiasi membro del personale del SEAE, sulle questioni e sui fatti direttamente collegati con l’esercizio delle sue funzioni e di cui viene a conoscenza e riferisce in merito all’autorità che ha il potere di nomina o alla persona che lo ha incaricato dell’indagine. Se lo ritiene opportuno, provvede ad informare di conseguenza tutte le altre parti interessate. Se il reclamo emana da una persona fisica o è presentato per conto di una persona fisica, l’RPD deve, nella misura del possibile, garantire la riservatezza della richiesta, a meno che l’interessato non acconsenta in modo inequivocabile ad un trattamento diverso;

c) coopera nell’espletamento delle sue funzioni con i responsabili della protezione dei dati delle altre istituzioni, organismi, uffici e agenzie dell’Unione europea, in particolare mediante scambi di esperienze e migliori prassi;

d) rappresenta l’Alto rappresentante o il SEAE, a seconda dei casi, per tutte le questioni relative alla protezione dei dati a livello internazionale, fatte salve le disposizioni dei trattati fra cui in particolare l’articolo 218 del trattato sul funzionamento dell’Unione europea;

e) presenta una relazione annuale sulle sue attività all’Alto rappresentante e la mette a disposizione del personale del SEAE.

2. Fatti salvi l’articolo 4, lettera b), l’articolo 5, paragrafo 1, lettere b) e c), e l’articolo 15, l’RPD ed il suo personale non divulgano le informazioni e i documenti ottenuti nell’esercizio dei loro compiti e delle loro funzioni.

Articolo 6

Competenze

Nell’assolvimento dei suoi compiti e delle sue funzioni l’RPD:

a) ha accesso in qualsiasi momento ai dati oggetto del trattamento e a tutti gli uffici, alle installazioni per il trattamento dei dati e ai supporti di dati;

b) può chiedere pareri giuridici alla Divisione Affari giuridici del SEAE;

c) può fare ricorso ai servizi di esperti esterni di tecnologie dell’informazione previo consenso dell’ordinatore conformemente al regolamento finanziario [regolamento (CE, Euratom) n. 1605/2002] e alle relative norme d’attuazione;

d) può proporre, senza pregiudizio delle funzioni e delle competenze del GEPD, provvedimenti amministrativi e può formulare raccomandazioni generali sulla corretta applicazione del regolamento e della presente decisione;

e) in casi specifici, può formulare altre raccomandazioni per il miglioramento concreto della protezione dei dati alla gerarchia del SEAE e/o a tutte le altre parti interessate;

f) può segnalare all’autorità che ha il potere di nomina del SEAE qualsiasi inadempienza al regolamento e alla presente decisione da parte di un membro del personale e proporre l’avvio di un’indagine amministrativa in vista dell’eventuale applicazione dell’articolo 49 del regolamento.

Articolo 7

Risorse

L’RPD dispone del personale adeguato e delle risorse necessarie all’esercizio delle sue funzioni e dei suoi compiti.

SEZIONE 3

DIRITTI ED OBBLIGHI DELLE PERSONE CHE INTERVENGONO NEL SETTORE DELLA PROTEZIONE DEI DATI

Articolo 8

Autorità investita del potere di nomina

1. In caso di reclamo ai sensi dell’articolo 90 dello statuto del personale per una violazione del regolamento o della presente decisione, l’autorità che ha il potere di nomina consulta l’RPD, che dovrebbe formulare un parere per iscritto entro 15 giorni dal ricevimento della richiesta. Se al termine di questo periodo l’RPD non ha trasmesso il parere all’autorità che ha il potere di nomina, questo non è più necessario. L’autorità che ha il potere di nomina non è vincolata dal parere dell’RPD.

2. L’RPD è informato quando sono esaminate questioni che hanno o potrebbero avere implicazioni sulla protezione dei dati.

Articolo 9

Responsabili del trattamento

1. Ai responsabili del trattamento spetta assicurare che tutti i trattamenti sotto il loro controllo siano conformi al regolamento e alle disposizioni della presente decisione. I responsabili del trattamento possono, se necessario, affidare compiti di trattamento di dati ai membri del personale del SEAE che lavorano sotto la loro responsabilità o a entità sotto contratto, conformemente all’articolo 23 del regolamento.

2. In particolare, i responsabili del trattamento:

a) informano l’RPD prima di eseguire uno o più trattamenti dei dati, destinati al conseguimento di una o più finalità correlate e prima di apportare modifiche sostanziali a un trattamento in corso;

b) assistono l’RPD ed il GEPD nell’esercizio delle rispettive funzioni, in particolare rispondendo alle loro richieste entro 30 giorni;

c) collaborano con i coordinatori per la protezione dei dati all’inventario dei trattamenti esistenti di dati personali;

d) adottano opportune misure tecniche ed organizzative e impartiscono istruzioni adeguate agli incaricati dei trattamenti per garantire sia la riservatezza del trattamento sia un livello di sicurezza appropriato in relazione ai rischi che il trattamento comporta;

e) se del caso, consultano l’RPD in merito alla conformità dei trattamenti con il regolamento e con la presente decisione, in particolare quando sussistono ragioni per ritenere che taluni trattamenti siano incompatibili con gli articoli da 4 a 10 del regolamento. Essi possono inoltre consultare l’RPD e/o gli esperti interni in materia di sicurezza delle tecnologie dell’informazione su questioni relative alla riservatezza dei trattamenti e sulle misure di sicurezza adottate ai sensi dell’articolo 22 del regolamento.

Articolo 10

Coordinatori

1. Ogni direttore operativo o direttore o capo di un servizio di dimensioni o funzioni equivalenti, o il capo di una Delegazione dell’Unione, se necessario, designa un coordinatore per la protezione dei dati che lavora sotto la sua responsabilità.

Ferme restando le responsabilità dell’RPD, ogni coordinatore:

a) assiste nella tenuta dell’inventario di tutti i trattamenti di dati personali esistenti e coopera con l’RPD all’elaborazione e all’aggiornamento di tale inventario;

b) aiuta a identificare i rispettivi responsabili del trattamento e incaricati del trattamento;

c) ha il diritto di ottenere dai responsabili del trattamento, dagli incaricati del trattamento e dal personale del SEAE le informazioni adeguate e necessarie per l’esercizio dei propri compiti amministrativi. Ciò non include il diritto di accesso ai dati personali elaborati sotto la responsabilità del responsabile del trattamento;

d) avalla le notifiche collettive all’RPD per tipi o categorie di trattamenti di dati.

2. Ferme restando le responsabilità dei responsabili del trattamento, i coordinatori:

a) assistono i responsabili del trattamento nell’assolvimento dei loro obblighi;

b) se del caso, facilitano la comunicazione tra l’RPD ed i responsabili del trattamento.

Articolo 11

Personale del SEAE

1. Tutto il personale del SEAE contribuisce all’applicazione delle norme di riservatezza e di sicurezza del trattamento dei dati personali di cui agli articoli 21 e 22 del regolamento. Nessun membro del personale del SEAE che abbia accesso ai dati personali effettua il trattamento degli stessi se non su istruzione del responsabile del trattamento, salvo che la legislazione nazionale o dell’Unione lo richieda.

2. Qualsiasi membro del personale del SEAE può presentare un reclamo al GEPD senza seguire la via gerarchica per un’asserita violazione delle norme del regolamento o della presente decisione relative al trattamento dei dati personali, come precisato nelle norme stabilite dal GEPD.

Articolo 12

Interessati

1. Gli interessati, oltre a godere del diritto di essere adeguatamente informati di qualsiasi trattamento di dati personali che li riguardano, a norma degli articoli 11 e 12 del regolamento, possono rivolgersi al responsabile del trattamento interessato per esercitare i loro diritti ai sensi degli articoli da 13 a 19 del regolamento, come precisato nella sezione 5 della presente decisione.

2. Fatta salva la possibilità di ricorso giurisdizionale, qualunque interessato può presentare un reclamo al GEPD se ritiene che i diritti riconosciutigli a norma del regolamento o della presente decisione siano stati violati in seguito ad un trattamento di dati personali che lo riguardano effettuato dai responsabili del trattamento, come precisato nelle norme stabilite dal GEPD.

3. Nessun pregiudizio può derivare ad alcun interessato dalla presentazione al GEPD di un reclamo o dalla segnalazione all’RPD di un’asserita violazione delle norme del regolamento.

SEZIONE 4

REGISTRO DEI TRATTAMENTI NOTIFICATI

Articolo 13

Procedura di notificazione

1. I responsabili del trattamento notificano all’RPD qualsiasi trattamento di dati personali mediante un formulario di notificazione disponibile sul sito Intranet del SEAE e delle Delegazioni dell’Unione (sotto «Protezione dei dati»). La notificazione è trasmessa all’RPD per via elettronica. Una notificazione di conferma è inviata all’RPD mediante nota scritta entro 10 giorni lavorativi. Una volta ricevuta la notificazione di conferma, l’RPD la pubblica sul registro.

2. La notificazione contiene tutte le informazioni di cui all’articolo 25, paragrafo 2, del regolamento. L’RPD deve essere informato senza indugio di ogni modifica relativa a tali informazioni.

3. Ulteriori norme e prassi relative alla procedura di notificazione che i responsabili del trattamento devono seguire sono inserite nelle raccomandazioni generali formulate dall’RPD.

Articolo 14

Contenuto e finalità del registro

1. L’RPD tiene un registro dei trattamenti effettuati su dati personali, compilato sulla base delle notificazioni ricevute dai responsabili del trattamento.

2. Il registro riporta almeno le informazioni di cui all’articolo 25, paragrafo 2, lettere da a) a g), del regolamento. Tuttavia, in via eccezionale, le informazioni iscritte dall’RPD nel registro possono essere limitate quando è necessario salvaguardare la sicurezza di un determinato trattamento.

3. Il registro funge da sommario dei trattamenti di dati personali effettuati dal SEAE. È accessibile agli interessati per facilitare l’esercizio dei diritti di cui agli articoli da 13 a 19 del regolamento e di cui alla presente decisione.

Articolo 15

Accesso al registro

1. L’RPD adotta misure atte a garantire che il registro possa essere consultato da qualunque interessato direttamente o indirettamente tramite il GEPD. In particolare, l’RPD informa e assiste gli interessati riguardo alle modalità e alla sede in cui presentare le domande di consultazione del registro.

2. Ad eccezione dei casi in cui è possibile la consultazione in linea, le domande di consultazione del registro possono essere formulate per iscritto, anche elettronicamente, in una delle lingue di cui all’articolo 342 del trattato sul funzionamento dell’Unione europea ed in maniera sufficientemente precisa da consentire all’RPD di individuare i trattamenti in questione. Un avviso di ricevimento è inviato al richiedente senza indugio.

3. Se una domanda non è sufficientemente precisa, l’RPD invita il richiedente a precisarla e lo assiste in tale compito. Qualora la domanda si riferisca ad un ampio numero di trattamenti, l’RPD può conferire a titolo informale con il richiedente al fine di trovare una soluzione equa.

4. Ogni interessato può chiedere all’RPD copia delle informazioni iscritte nel registro su qualsiasi trattamento notificato.

SEZIONE 5

PROCEDURA PER L’ESERCIZIO DEI DIRITTI DELL’INTERESSATO

Articolo 16

Disposizioni generali

1. I diritti dell’interessato specificati nella presente sezione possono essere esercitati solo dalla persona fisica in questione o, in casi eccezionali, a suo nome mediante debita autorizzazione. Le richieste sono trasmesse per iscritto al pertinente responsabile del trattamento, con copia all’RPD. Se necessario, l’RPD assiste l’interessato nell’individuare il pertinente responsabile del trattamento. L’RPD mette a disposizione appositi formulari. I responsabili del trattamento accettano la richiesta solo se il formulario è stato compilato correttamente e l’identità del richiedente è stata debitamente verificata. L’esercizio dei diritti dell’interessato è gratuito.

2. Il pertinente responsabile del trattamento trasmette al richiedente un avviso di ricevimento entro cinque giorni lavorativi dalla registrazione della richiesta. Salvo disposizione contraria, il responsabile del trattamento risponde alla richiesta entro 15 giorni lavorativi dalla registrazione della stessa dandovi seguito oppure motivando per iscritto le ragioni del rifiuto totale o parziale, in particolare se il richiedente non è considerato l’interessato.

3. In caso di irregolarità o palese abuso da parte dell’interessato nell’esercizio dei suoi diritti e qualora quest’ultimo sostenga che il trattamento è illecito, il responsabile del trattamento deve consultare l’RPD in merito alla richiesta e/o rinviare l’interessato all’RPD, il quale deciderà sull’ammissibilità della richiesta e sull’appropriato seguito da darvi.

4. Qualsiasi interessato può consultare l’RPD in relazione all’esercizio dei suoi diritti in un caso specifico. Fatta salva la possibilità di ricorso giurisdizionale, qualunque interessato può presentare un reclamo al GEPD se ritiene che i diritti riconosciutigli a norma del regolamento siano stati violati in seguito ad un trattamento di dati personali che lo riguardano.

Articolo 17

Diritto di accesso

Ogni interessato ha il diritto di ottenere liberamente dai responsabili del trattamento, in qualunque momento entro i tre mesi dal ricevimento della richiesta, le informazioni di cui all’articolo 13, lettere da a) a d) del regolamento, consultando i dati sul posto oppure ottenendone copia, compresa, se del caso, una copia in formato elettronico, a seconda delle sue preferenze.

Articolo 18

Diritto di rettifica

La richiesta di rettifica di dati personali inesatti o incompleti presentata dall’interessato specifica i dati in questione nonché la rettifica da apportare. Essa è trattata prontamente dal responsabile del trattamento.

Articolo 19

Diritto di blocco

Il pertinente responsabile del trattamento tratta prontamente ogni richiesta di blocco dei dati a norma dell’articolo 15 del regolamento. La richiesta specifica i dati in questione e i motivi del blocco. Prima che i dati siano sbloccati, il responsabile del trattamento ne informa l’interessato che ha presentato la richiesta.

Articolo 20

Diritto di cancellazione

L’interessato può chiedere ai responsabili del trattamento la pronta cancellazione dei dati in caso di trattamento illecito, in particolare in caso di violazione delle disposizioni di cui agli articoli da 4 a 10 del regolamento. La richiesta specifica i dati in questione e fornisce le motivazioni o la prova dell’illiceità del trattamento. Nei sistemi automatici di archiviazione, la cancellazione va assicurata in linea di massima mediante ogni dispositivo tecnico adeguato, che escluda la possibilità di successivi trattamenti dei dati cancellati. Se la cancellazione per motivi tecnici non è possibile, il pertinente responsabile del trattamento, previa consultazione dell’RPD e della persona interessata, procede all’immediato blocco dei dati in questione.

Articolo 21

Notificazione a terzi

In caso di rettifica, blocco o cancellazione su richiesta dell’interessato, questi può ottenere che i responsabili del trattamento procedano alla notificazione ai terzi ai quali sono stati comunicati i suoi dati personali, a meno che la notificazione non risulti impossibile o sproporzionatamente difficile.

Articolo 22

Diritto di opposizione

L’interessato può opporsi al trattamento di dati che lo riguardano e alla comunicazione o all’uso dei suoi dati personali, a norma dell’articolo 18 del regolamento. La richiesta specifica i dati in questione ed è debitamente motivata. Qualora l’opposizione si riveli fondata, tali dati non sono più oggetto del trattamento.

Articolo 23

Decisioni individuali automatiche

L’interessato ha il diritto di non essere sottoposto a decisioni individuali automatiche ai sensi dell’articolo 19 del regolamento, salvo che la decisione sia espressamente autorizzata dalla normativa nazionale o dell’Unione o da una decisione del GEPD volta a salvaguardare gli interessi legittimi dell’interessato. In entrambi i casi l’interessato ha l’opportunità di esprimere anticipatamente il proprio parere e di consultare l’RPD.

Articolo 24

Eccezioni e limitazioni

1. Nella misura in cui sia chiaramente giustificato da motivi legittimi ai sensi dell’articolo 20 del regolamento, i responsabili del trattamento possono imporre limitazioni all’esercizio dei diritti di cui agli articoli da 17 a 21 della presente decisione. Salvo in caso di assoluta necessità, il pertinente responsabile del trattamento consulta prima l’RPD, il cui parere non vincola il SEAE. Il responsabile del trattamento risponde prontamente alle richieste relative all’applicazione di eccezioni o limitazioni all’esercizio dei diritti e motiva debitamente la sua decisione.

2. Ogni interessato può richiedere al GEPD l’applicazione dell’articolo 47, paragrafo 1, lettera c), del regolamento.

SEZIONE 6

PROCEDURA D’INDAGINE

Articolo 25

Modalità pratiche

1. Le richieste di indagine sono trasmesse per iscritto all’RPD mediante un apposito formulario messo a disposizione da quest’ultimo. In caso di palese abuso del diritto a chiedere un’indagine, ad esempio qualora la stessa persona fisica abbia presentato di recente una richiesta identica, l’RPD non è tenuto a rispondere al richiedente.

2. Entro 15 giorni dal ricevimento, l’RPD trasmette un avviso di ricevimento all’autorità che ha il potere di nomina o alla persona che lo ha incaricato dell’indagine e verifica se la richiesta deve essere trattata in maniera riservata.

3. L’RPD chiede al responsabile del trattamento dei dati in questione una dichiarazione scritta al riguardo. Il responsabile del trattamento risponde all’RPD entro 15 giorni. L’RPD può chiedere informazioni complementari ad altri servizi del SEAE, ad esempio l’Ufficio di sicurezza e il Dipartimento per la sicurezza delle informazioni (Infosec) del SEAE. Se del caso, può chiedere un parere sulla questione alla Divisione Affari giuridici del SEAE. Le informazioni o il parere sono trasmessi all’RPD entro 30 giorni.

4. L’RPD riferisce all’autorità che ha il potere di nomina o alla persona che ha presentato la richiesta entro tre mesi dal ricevimento della stessa.

SEZIONE 7

DISPOSIZIONI FINALI

Articolo 26

In caso di incongruenze fra le disposizioni della presente decisione e quelle del regolamento, prevale il regolamento.

Articolo 27

La presente decisione è resa nota al personale del SEAE con mezzi adeguati, in particolare tramite pubblicazione sul sito Intranet del SEAE e delle Delegazioni dell’Unione (sotto «Protezione dei dati»).

Articolo 28

Entrata in vigore

La presente decisione entra in vigore il giorno dell’adozione.