DECISIONE DELLA BANCA EUROPEA PER GLI INVESTIMENTI

del 26 febbraio 2019

che stabilisce le norme interne per il trattamento dei dati personali da parte della Direzione del Personale della Banca europea per gli investimenti, in relazione alla comunicazione di informazioni alle persone interessate e alla limitazione di alcuni dei loro diritti

LA BANCA EUROPEA PER GLI INVESTIMENTI («BEI»),

visto il Trattato sul funzionamento dell'Unione europea, in particolare l'articolo 309,

visto il Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il Regolamento (CE) n. 45/2001 e la Decisione n. 1247/2002/CE,

considerando quanto segue:

a norma dell'articolo 38 dei Regolamenti del Personale della BEI I e II, possono essere adottate misure disciplinari nei confronti dei membri del personale che non adempiono ai propri obblighi nei confronti della BEI secondo la procedura di cui all'articolo 40 di detti Regolamenti. A norma dell'articolo 41 dei Regolamenti del Personale della BEI I e II, le controversie diverse da quelle derivanti dall'applicazione delle misure disciplinari di cui all'articolo 38 dei Regolamenti stessi possono essere deferite a una Commissione di conciliazione. Conformemente alla Politica della BEI in materia di dignità sul posto di lavoro e alle Linee guida della BEI relative alla procedura dinanzi al Comitato per i ricorsi, la BEI deve occuparsi rispettivamente delle denunce di molestie e dei ricorsi contro le valutazioni delle prestazioni.

Sono di competenza primaria della Direzione del Personale della BEI sia l'organizzazione che la gestione delle procedure stabilite dagli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II nonché dalla Politica della BEI in materia di dignità sul posto di lavoro e dalle Linee guida della BEI relative alla procedura dinanzi al Comitato per i ricorsi. In particolare, la Direzione del Personale fornisce supporto agli organi preposti alle suddette procedure, assicurando altresì le funzioni di segreteria giuridica degli stessi.

Nello svolgimento dei propri compiti la Direzione del Personale è tenuta a rispettare i diritti delle persone fisiche con riguardo al trattamento dei dati personali riconosciuti dall'articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea e dall'articolo 16, paragrafo 1, del Trattato sul funzionamento dell'Unione europea, nonché dagli atti giuridici che si fondano su tali disposizioni. Al tempo stesso, la Direzione del Personale deve rispettare le rigorose norme in materia di riservatezza e di segreto d'ufficio di cui ai Regolamenti del Personale della BEI e al Codice di condotta del personale della BEI e assicurare il rispetto dei diritti procedurali delle persone interessate e dei testimoni, in particolare il diritto delle persone interessate a un processo equo, ai diritti di difesa e alla presunzione d'innocenza.

In determinate circostanze è necessario conciliare i diritti degli interessati a norma del Regolamento (UE) 2018/1725 (1) con gli scopi e le esigenze relativi ai compiti della Direzione del Personale, nonché con il pieno rispetto dei diritti e delle libertà fondamentali degli altri interessati. A tal fine, l'articolo 25 del suddetto Regolamento garantisce alla Direzione del Personale la possibilità di limitare l'applicazione degli articoli da 14 a 22 e dell'articolo 35, nonché dell'articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22.

Al fine di garantire l'efficacia delle procedure svolte dalla Commissione di disciplina e dalla Commissione di conciliazione – istituite rispettivamente a norma degli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II – nonché dal Comitato d'inchiesta e dal Comitato per i ricorsi – istituiti rispettivamente in virtù della Politica della BEI in materia di dignità sul posto di lavoro e della Procedura dinanzi al Comitato per i ricorsi, nel rispetto delle norme di protezione dei dati personali di cui al Regolamento (UE) 2018/1725 – occorre adottare norme interne secondo le quali la Direzione del Personale può limitare i diritti degli interessati conformemente all'articolo 25, paragrafo 1, lettere c), g) e h), del Regolamento (UE) 2018/1725.

Le norme interne dovrebbero applicarsi a tutte le operazioni di trattamento effettuate dalla Direzione del Personale nell'esercizio del suo mandato ai sensi degli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II e conformemente alla Politica della BEI in materia di dignità sul posto di lavoro e alle Linee guida della BEI relative alla procedura dinanzi al Comitato per i ricorsi. Tali norme dovrebbero applicarsi alle operazioni di trattamento effettuate prima dell'avvio delle procedure di competenza della Commissione di disciplina, della Commissione di conciliazione, del Comitato d'inchiesta e del Comitato per i ricorsi, mentre tali procedure sono in corso e nell'ambito del seguito dato dell'esito di tali procedure.

Al fine di ottemperare agli articoli 14, 15 e 16 del Regolamento (UE) 2018/1725, il responsabile del trattamento dei dati dovrebbe informare tutte le persone interessate in merito alle proprie attività che comportano il trattamento dei loro dati personali e ai loro diritti in modo trasparente e coerente, mediante informative sulla protezione dei dati pubblicate sul sito Intranet della BEI, nonché informare singolarmente i soggetti che sono interessati dalle sue attività, vale a dire le persone interessate, le parti e i testimoni.

Inoltre, al fine di mantenere una cooperazione efficace, la Direzione del Personale può dover applicare limitazioni ai diritti degli interessati per tutelare le informazioni contenenti dati personali provenienti da altri servizi della BEI, da altre istituzioni e da altri organi e organismi dell'Unione, dalle autorità competenti degli Stati membri e di paesi terzi, nonché da organizzazioni internazionali. A tal fine, la Direzione del Personale dovrebbe consultare tali altri servizi della BEI, istituzioni, organi, organismi, autorità e organizzazioni internazionali riguardo ai motivi pertinenti nonché alla necessità e alla proporzionalità delle limitazioni.

La Direzione del Personale dovrebbe gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione delle limitazioni nel corrispondente sistema di registrazione.

A norma dell'articolo 25, paragrafo 8, del Regolamento (UE) 2018/1725, i titolari del trattamento possono rinviare, omettere o rifiutare di fornire alla persona interessata i motivi dell'applicazione di una limitazione se ciò compromette in qualche modo lo scopo della limitazione. È il caso, in particolare, delle limitazioni ai diritti di cui agli articoli 16 e 35 del Regolamento (UE) 2018/1725. Al fine di garantire che il diritto dell'interessato ad essere informato in conformità degli articoli 16 e 35 del Regolamento (UE) 2018/1725 sia limitato solo durante il periodo in cui permangono i motivi per il rinvio della comunicazione, la Direzione del Personale dovrebbe riesaminare periodicamente la propria posizione.

Qualora sia applicata una limitazione dei diritti di altri interessati, la Direzione del Personale dovrebbe valutare caso per caso se la comunicazione della limitazione ne comprometterebbe la finalità.

Il Responsabile della protezione dei dati della BEI può effettuare un riesame indipendente dell'applicazione delle limitazioni, nell'intento di garantirne la conformità alla presente Decisione.

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1 Oggetto e ambito di applicazione 1. La presente Decisione stabilisce le modalità che il titolare del trattamento dei dati competente, ai sensi dell'articolo 2, paragrafo 1, è tenuto a seguire per informare gli interessati in merito al trattamento dei loro dati a norma degli articoli 14, 15 e 16 del Regolamento (UE) 2018/1725. Essa stabilisce altresì le condizioni alle quali il titolare del trattamento dei dati può limitare l'applicazione degli articoli da 14 a 22 e dell'articolo 35, nonché dell'articolo 4 del Regolamento, in conformità dell'articolo 25, paragrafo 1, lettere c), g) e h) del Regolamento stesso. 2. La presente Decisione si applica al trattamento dei dati personali da parte della Direzione del Personale ai fini delle attività svolte per l'espletamento dei compiti di cui agli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II, nonché alla Politica della BEI in materia di dignità sul posto di lavoro, alle Linee guida della BEI relative alla procedura dinanzi al Comitato per i ricorsi e successive modifiche, ovvero in relazione alle attività stesse. 3. Nell'ambito del suo mandato, la Direzione del Personale tratta diverse categorie di dati personali, in particolare quelli riguardanti l'identità, il recapito, l'attività professionale e il ruolo svolto nel caso in esame.

Articolo 2 Specificazione del responsabile del trattamento e misure di salvaguardia 1. Il responsabile del trattamento dei dati è il Direttore generale del Personale. 2. I dati personali sono conservati in un ambiente elettronico e fisico sicuro, volto ad impedire la consultazione o il trasferimento illeciti di dati a persone che non hanno necessità di sapere. 3. I dati personali possono essere conservati nei fascicoli per almeno sei mesi e fino a un massimo di dieci anni. Maggiori informazioni sull'esatta durata dei periodi di conservazione per ciascuna procedura sono contenute nel Piano di conservazione della Direzione del Personale. 4. In casi eccezionali e debitamente giustificati, previo accordo del Responsabile della protezione dei dati, si applicano termini più lunghi di quelli sopra indicati.

Articolo 3 Eccezioni e limitazioni applicabili 1. Qualora la Direzione del Personale eserciti le proprie funzioni in relazione ai diritti degli interessati a norma del Regolamento (UE) 2018/1725, essa valuta se si applichi una delle eccezioni stabilite in detto Regolamento. 2. Fatti salvi gli articoli da 4 a 7 della presente Decisione, la Direzione del Personale può limitare l'applicazione degli articoli da 14 a 22, e dell'articolo 35 del Regolamento (UE) 2018/1725, nonché dell'articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22 di detto Regolamento, qualora l'esercizio di tali diritti e obblighi possa compromettere la finalità delle procedure di cui agli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II, nonché della Politica della BEI in materia di dignità sul posto di lavoro e delle Linee guida della BEI relative alla procedura dinanzi al Comitato per i ricorsi, o ledere i diritti e le libertà di altri interessati. 3. Fatti salvi gli articoli da 4 a 7 della presente Decisione, la Direzione del Personale può limitare i diritti e gli obblighi di cui al paragrafo 2 del presente articolo in relazione ai dati personali ottenuti da altri servizi della BEI, o da altre istituzioni ed altri organi e organismi dell'Unione, dalle autorità competenti degli Stati membri o da organizzazioni internazionali, nelle seguenti circostanze: a) quando l'esercizio di tali diritti e obblighi potrebbe essere limitato da altri servizi della BEI, o da altre istituzioni, organi e organismi dell'Unione sulla base di altri atti di cui all'articolo 25 del Regolamento o in conformità del capo IX di detto Regolamento; b) quando l'esercizio di tali diritti e obblighi potrebbe essere limitato dalle autorità competenti degli Stati membri sulla base degli atti di cui all'articolo 23 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (2), o a norma delle misure nazionali di recepimento dell'articolo 13, paragrafo 3, dell'articolo 15, paragrafo 3, o dell'articolo 16, paragrafo 3, della Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (3); c) quando l'esercizio di tali diritti e obblighi potrebbe compromettere la cooperazione tra la Direzione del Personale e i paesi terzi o le organizzazioni internazionali nell'esercizio delle sue funzioni. Prima di applicare limitazioni nelle circostanze di cui al primo comma, lettere a) e b), la Direzione del Personale consulta i servizi competenti della BEI, le istituzioni, gli organi e gli organismi competenti dell'Unione o le autorità competenti degli Stati membri, a meno che non sia chiaro alla Direzione del Personale che l'applicazione di una limitazione è prevista da uno degli atti di cui alle lettere in questione. La lettera c) del primo comma non si applica qualora sull'interesse dell'Unione a cooperare con paesi terzi od organizzazioni internazionali prevalgano gli interessi o i diritti e le libertà fondamentali degli interessati. 4. I paragrafi 1, 2 e 3 lasciano impregiudicata l'applicazione di altre decisioni della BEI che stabiliscono norme interne riguardanti la comunicazione di informazioni agli interessati e la limitazione di taluni diritti di cui all'articolo 25 del Regolamento (UE) 2018/1725.

Articolo 4 Comunicazione di informazioni agli interessati 1. La Direzione del Personale pubblica sul sito Intranet della BEI informative sulla privacy con le quali rende note a tutti gli interessati le proprie attività che comportano il trattamento dei loro dati personali. 2. La Direzione del Personale informa singolarmente gli interessati che siano parti di una procedura, persone interessate da una procedura o testimoni. 3. Allorché la Direzione del Personale limita, integralmente o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2, essa registra i motivi della limitazione, compresa una valutazione della relativa necessità e proporzionalità. A tal fine, la registrazione indica in quale modo la comunicazione delle informazioni comprometterebbe la finalità della rispettiva procedura, o delle limitazioni applicate a norma dell'articolo 3, paragrafo 3, oppure lederebbe i diritti e le libertà di altri interessati. Detta registrazione e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati. 4. La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano. Qualora i motivi della limitazione non siano più applicabili, la Direzione del Personale fornisce all'interessato le informazioni in questione e i motivi della limitazione. Nel contempo la Direzione del Personale informa l'interessato in merito alla possibilità di proporre in qualsiasi momento reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea. La Direzione del Personale riesamina l'applicazione della limitazione ogni sei mesi dalla sua adozione e all'atto della chiusura della procedura pertinente. Successivamente, il titolare del trattamento valuterà su base annuale la necessità di mantenere eventuali limitazioni.

Articolo 5 Diritto di accesso dell'interessato 1. Qualora, a norma dell'articolo 17 del Regolamento (UE) 2018/1725, gli interessati chiedano l'accesso ai propri dati personali trattati nell'ambito di uno o più casi specifici o di particolari trattamenti, la Direzione del Personale limita la propria valutazione della richiesta esclusivamente a tali dati personali. 2. Allorché la Direzione del Personale limita, integralmente o in parte, il diritto di accesso di cui all'articolo 17 del Regolamento, essa procede nel modo seguente: a) informa l'interessato, nella propria risposta alla richiesta, in merito alla limitazione applicata e ai principali motivi della stessa, come pure alla possibilità di proporre reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea; b) registra i motivi della limitazione, compresa una valutazione della necessità e della proporzionalità della stessa; a tal fine, indica in quale modo la concessione dell'accesso comprometterebbe la finalità della rispettiva procedura o delle limitazioni applicate a norma dell'articolo 3, paragrafo 3, oppure lederebbe i diritti e le libertà di altri interessati. La comunicazione di informazioni di cui alla lettera a) può essere rinviata, omessa o negata in conformità dell'articolo 25, paragrafo 8, del Regolamento (UE) 2018/1725. 3. La registrazione di cui al paragrafo 2, primo comma, lettera b), e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati. Si applica l'articolo 25, paragrafo 7, del Regolamento (UE) 2018/1725.

Articolo 6 Diritto di rettifica, cancellazione e limitazione di trattamento Qualora la Direzione del Personale limiti, integralmente o in parte, l'applicazione del diritto di rettifica, cancellazione o limitazione di trattamento di cui all'articolo 18, all'articolo 19, paragrafo 1, e all'articolo 20, paragrafo 1, del Regolamento (UE) 2018/1725, essa adotta le misure di cui all'articolo 5, paragrafo 2, della presente Decisione e conserva la registrazione in un registro in conformità dell'articolo 5, paragrafo 3, della stessa.

Articolo 7 Comunicazione di una violazione dei dati personali all'interessato Allorché la Direzione del Personale limita la comunicazione all'interessato di una violazione dei dati personali di cui all'articolo 35 del Regolamento (UE) 2018/1725, essa registra i motivi della limitazione e conserva la registrazione in un registro conformemente all'articolo 4, paragrafo 3, della presente Decisione. Si applica l'articolo 4, paragrafo 4, della Decisione stessa.

Articolo 8 Riesame da parte del Responsabile della protezione dei dati La Direzione del Personale informa, senza indebito ritardo, il Responsabile della protezione dei dati ogniqualvolta i diritti degli interessati siano limitati in conformità della presente Decisione e fornisce l'accesso alla documentazione e la valutazione della necessità e proporzionalità della limitazione. Il Responsabile della protezione dei dati può chiedere per iscritto alla Direzione del Personale di riesaminare l'applicazione delle limitazioni. La Direzione del Personale informa il Responsabile della protezione dei dati per iscritto dell'esito del riesame richiesto.

Articolo 9 Entrata in vigore La presente Decisione è stata approvata dal Consiglio di amministrazione della BEI il 26 febbraio 2019 ed entra in vigore il giorno della sua pubblicazione sulla pagina web della BEI.

Fatto a Lussemburgo, il 26 febbraio 2019

(1) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il Regolamento (CE) n. 45/2001 e la Decisione n. 1247/2002/CE – Testo rilevante ai fini SEE (GU L 295 del 21.11.2018, pag. 39).

(2) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(3) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la Decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016, pag. 89).