IT Gazzetta ufficiale dell'Unione europea C 175/1

Parere del Garante europeo della protezione dei dati sulle proposte della Commissione concernenti la direttiva sull’accesso all’attività degli enti creditizi e sulla vigilanza prudenziale degli enti creditizi e delle imprese di investimento e il regolamento relativo ai requisiti prudenziali per gli enti creditizi e le imprese di investimento

(2012/C 175/01)

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16,

vista la Carta dei diritti fondamentali dell’Unione europea, in particolare gli articoli 7 e 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1),

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (2), in particolare l’articolo 28, paragrafo 2,

HA ADOTTATO IL SEGUENTE PARERE:

1. INTRODUZIONE

1.1. Consultazione del GEPD

1. Il presente parere fa parte di un pacchetto di quattro pareri del GEPD relativi al settore finanziario, tutti adottati lo stesso giorno (3).

2. Il 20 luglio 2011 la Commissione ha adottato due proposte concernenti la revisione della legislazione bancaria. La prima proposta riguarda una direttiva sull’accesso all’attività degli enti creditizi e sulla vigilanza prudenziale degli enti creditizi e delle imprese di investimento («la direttiva proposta») (4). La seconda riguarda un regolamento relativo ai requisiti prudenziali per gli enti creditizi e le imprese di investimento («il regolamento proposto») (5). Il giorno stesso le proposte sono state inviate al GEPD a fini di consultazione. Il 18 novembre 2011 il Consiglio dell’Unione europea ha consultato il GEPD in merito alla direttiva proposta.

3. Prima dell’adozione del regolamento proposto il GEPD era già stato consultato in modo informale e constata che la proposta tiene conto di diverse sue osservazioni.

4. Il GEPD si compiace di essere stato consultato dalla Commissione e dal Consiglio e raccomanda di inserire un riferimento al presente parere nel preambolo degli strumenti adottati.

1.2. Obiettivi e ambito di applicazione delle proposte

5. La normativa proposta comprende due strumenti giuridici: una direttiva sull’accesso all’attività degli enti creditizi e sulla vigilanza prudenziale degli enti creditizi e delle imprese di investimento e un regolamento relativo ai requisiti prudenziali per gli enti creditizi e le imprese di investimento. Gli obiettivi politici della revisione proposta sono essenzialmente quelli di garantire il buon funzionamento del settore bancario e recuperare la fiducia degli operatori e del pubblico. Gli strumenti proposti sostituiranno la direttiva 2006/48/CE e la direttiva 2006/49/CE, che di conseguenza saranno abrogate.

6. I principali nuovi elementi della direttiva proposta sono le disposizioni sulle sanzioni, le disposizioni su un efficace governo societario e le disposizioni intese a prevenire l’eccessivo affidamento sui rating esterni. In particolare, la direttiva proposta mira a introdurre un regime sanzionatorio efficace e proporzionato, un idoneo ambito di applicazione personale delle sanzioni amministrative, la pubblicazione delle sanzioni e meccanismi che incoraggino la segnalazione delle violazioni. Mira inoltre a rafforzare il quadro legislativo relativo al governo societario e a ridurre l’eccessivo affidamento sui rating esterni (6).

7. Il regolamento proposto integra la direttiva stabilendo requisiti prudenziali uniformi e direttamente applicabili per gli enti creditizi e le imprese di investimento. Come indicato nella relazione di accompagnamento, l’obiettivo principale dell’iniziativa è rafforzare l’efficacia della regolamentazione sui requisiti in materia di fondi propri degli enti dell’UE e contenerne l’impatto negativo sul sistema finanziario (7).

1.3. Scopo del parere del GEPD

8. Sebbene la maggior parte delle disposizioni degli strumenti proposti riguardi l’esercizio dell’attività degli enti creditizi, l’attuazione e l’applicazione del quadro giuridico in alcuni casi può incidere sui diritti delle persone fisiche in relazione al trattamento dei dati personali.

9. Alcune disposizioni della direttiva proposta prevedono lo scambio di informazioni tra le autorità degli Stati membri e anche di paesi terzi (8). Tali informazioni possono facilmente riguardare persone fisiche, per esempio i membri degli organi di gestione degli enti creditizi, nonché i loro dipendenti e azionisti. Inoltre, in forza della direttiva proposta, le autorità competenti possono applicare sanzioni direttamente alle persone fisiche e sono tenute a pubblicare le sanzioni inflitte, compresa l’identità dei responsabili (9). Al fine di facilitare l’individuazione delle violazioni, la proposta introduce l’obbligo delle autorità competenti di mettere in atto meccanismi per incoraggiarne la segnalazione (10). Inoltre, il regolamento proposto impone agli enti creditizi e alle imprese di investimento l’obbligo di pubblicare informazioni sulla loro politica in materia di remunerazioni, compresi gli importi corrisposti, ripartiti per categoria del personale e per fascia retributiva (11). Tutte queste disposizioni possono avere implicazioni per la protezione dei dati personali degli interessati.

10. Alla luce di quanto precede, il presente parere esaminerà i seguenti aspetti del pacchetto riguardanti la tutela della vita privata e la protezione dei dati personali: 1) l’applicabilità della normativa in materia di protezione dei dati; 2) il trasferimento dei dati verso paesi terzi; 3) il segreto d’ufficio e l’uso di informazioni riservate; 4) l’obbligo di pubblicazione delle sanzioni; 5) i meccanismi per la segnalazione delle violazioni; 6) gli obblighi di pubblicazione riguardanti la politica in materia di remunerazioni.

2. ANALISI DELLE PROPOSTE

2.1. Applicabilità della normativa in materia di protezione dei dati

11. Il considerando 74 della direttiva proposta contiene un riferimento alla piena applicabilità della normativa in materia di protezione dei dati. Occorre tuttavia inserire un riferimento a tale normativa in un articolo sostanziale delle proposte. Un buon esempio di tale disposizione sostanziale è fornito dall’articolo 22 della proposta di regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato (12), che prevede espressamente l’applicazione generale delle disposizioni della direttiva 95/46/CE e del regolamento (CE) n. 45/2001 al trattamento di dati personali nel quadro della proposta.

12. Ciò è particolarmente importante, per esempio, per quanto riguarda le varie disposizioni relative allo scambio di informazioni personali. Tali disposizioni sono perfettamente legittime, ma devono essere applicate in modo compatibile con la normativa in materia di protezione dei dati. In particolare, occorre scongiurare il rischio che possano essere interpretate come un’autorizzazione generale a scambiare qualsiasi tipo di dati personali. Un riferimento alla normativa in materia di protezione dei dati, anche nelle disposizioni sostanziali, ridurrebbe sensibilmente tale rischio.

13. Il GEPD propone quindi di inserire una disposizione sostanziale analoga a quella di cui all’articolo 22 della proposta di regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato (13), ferme restando le raccomandazioni del GEPD sulla proposta in esame (14), cioè dare risalto all’applicabilità della legislazione vigente in materia di protezione dei dati e chiarire il riferimento alla direttiva 95/46/CE, precisando che le disposizioni si applicano in conformità delle norme nazionali di attuazioni della direttiva stessa.

2.2. Trasferimento dei dati verso paesi terzi

14. L’articolo 48 della direttiva proposta stabilisce che la Commissione può presentare al Consiglio proposte per negoziare accordi con paesi terzi volti a garantire, tra l’altro, che le autorità competenti dei paesi terzi siano in grado di ottenere le informazioni necessarie alla vigilanza delle imprese madri situate sul loro territorio che hanno una filiazione in uno o più Stati membri.

15. Nella misura in cui tali informazioni contengono dati personali, la direttiva 95/46/CE e il regolamento (CE) n. 45/2001 sono pienamente applicabili al trasferimento dei dati verso paesi terzi. Il GEPD propone di precisare all’articolo 48 che in tal caso gli accordi devono conformarsi alle condizioni previste per il trasferimento dei dati personali verso paesi terzi di cui al capo IV della direttiva 95/46/CE e al regolamento (CE) n. 45/2001. Ciò andrebbe previsto anche per quanto riguarda l’articolo 56, concernente gli accordi di cooperazione con le autorità competenti dei paesi terzi conclusi dagli Stati membri e dall’ABE.

16. Inoltre, alla luce dei rischi comportati da tali trasferimenti, il GEPD raccomanda di prevedere salvaguardie specifiche, come è stato fatto all’articolo 23 della proposta di regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato. Nel parere su tale proposta, il GEPD accoglie con favore il ricorso a una disposizione che contiene idonee salvaguardie, quali la valutazione individuale, la garanzia che il trasferimento sia necessario e l’assicurazione di un adeguato livello di protezione dei dati personali nel paese terzo che riceve i dati.

2.3. Segreto d’ufficio e uso di informazioni riservate

17. L’articolo 54 della direttiva proposta stabilisce che il personale delle autorità competenti ha l’obbligo di rispettare il segreto d’ufficio. L’articolo 54, paragrafo 1, secondo comma, vieta la divulgazione di informazioni riservate, «se non in forma sommaria o globale, cosicché non si possano individuare i singoli enti creditizi […]». Così com’è formulato, non è chiaro se il divieto si applichi anche alla divulgazione di informazioni personali.

18. Il GEPD raccomanda di estendere il divieto di divulgare informazioni riservate di cui all’articolo 54, paragrafo 1, secondo comma, al caso in cui si possano individuare persone fisiche (cioè non solo i «singoli enti creditizi»). In altre parole, la disposizione dovrebbe essere riformulata in modo da vietare la divulgazione di informazioni riservate, «se non in forma sommaria o globale, cosicché non si possano individuare i singoli istituti creditizi e le singole persone fisiche» (sottolineatura dell’autore).

2.4. Disposizioni relative alla pubblicazione delle sanzioni

2.4.1. Obbligo di pubblicazione delle sanzioni

19. Uno dei principali obiettivi del pacchetto proposto è rafforzare e armonizzare il quadro giuridico degli Stati membri riguardante le sanzioni e le misure amministrative. La direttiva proposta prevede che le autorità competenti possano applicare sanzioni non solo agli enti creditizi, ma anche alle persone fisiche materialmente responsabili della violazione (15). L’articolo 68 impone agli Stati membri di provvedere affinché le autorità competenti pubblichino ogni sanzione o misura applicata per violazione delle disposizioni del regolamento proposto o delle disposizioni nazionali adottate in attuazione della direttiva proposta, senza indebito ritardo, fornendo anche informazioni sul tipo e la natura della violazione e l’identità delle persone responsabili.

20. La pubblicazione delle sanzioni contribuirebbe a rafforzare l’effetto deterrente, scoraggiando i responsabili effettivi e potenziali di violazioni dal commettere reati onde evitare seri danni alla reputazione. Al contempo rafforzerebbe la trasparenza, in quanto gli operatori di mercato verrebbero a conoscenza del fatto che una determinata persona ha commesso una violazione (16). L’obbligo si attenua soltanto se la pubblicazione può arrecare un danno sproporzionato alle parti coinvolte, nel qual caso le autorità competenti pubblicano le sanzioni in forma anonima.

21. Il GEPD non è convinto che l’obbligo di pubblicazione delle sanzioni, così com’è attualmente formulato, soddisfi le condizioni relative alla protezione dei dati stabilite dalla Corte di giustizia nella sentenza Schecke (17). È del parere che la finalità, la necessità e la proporzionalità della misura non siano dimostrate in modo sufficiente e che, in ogni caso, si debbano prevedere idonee salvaguardie dei diritti individuali.

2.4.2. Necessità e proporzionalità della pubblicazione

22. Nella sentenza Schecke la Corte ha dichiarato invalide le disposizioni di un regolamento del Consiglio e di un regolamento della Commissione che prevedevano la pubblicazione obbligatoria di informazioni riguardanti i beneficiari dei fondi agricoli, tra cui l’identità dei beneficiari e gli importi percepiti. Secondo la Corte, detta pubblicazione costituisce un trattamento di dati personali ai sensi dell’articolo 8, paragrafo 2, della Carta dei diritti fondamentali dell’Unione europea («la Carta») e, pertanto, una lesione dei diritti riconosciuti dagli articoli 7 e 8 della Carta.

23. Dopo aver dichiarato che «le deroghe e le limitazioni alla protezione dei dati personali devono operare entro i limiti dello stretto necessario», la Corte ha proseguito l’analisi della finalità della pubblicazione e della proporzionalità. Ha concluso che, nel caso di specie, nulla indicava che il Consiglio e la Commissione avessero preso in considerazione, in sede di adozione della legislazione in causa, modalità di pubblicazione delle informazioni conformi all’obiettivo di una simile pubblicazione pur essendo meno lesive dei diritti di detti beneficiari.

24. L’articolo 68 della direttiva proposta sembra viziato dalle stesse carenze evidenziate dalla Corte nella sentenza Schecke. Occorre tenere presente che, per valutare la conformità agli obblighi in materia di protezione dei dati di una disposizione che impone la pubblicazione di informazioni personali, è indispensabile che sia indicata una finalità chiara e ben definita per la quale è prevista la pubblicazione. Soltanto in presenza di una finalità chiara e ben definita è possibile valutare se la pubblicazione dei dati personali di cui trattasi sia effettivamente necessaria e proporzionata (18).

25. Dopo aver letto la proposta e i documenti annessi (cioè la relazione sulla valutazione d’impatto), il GEPD ritiene che la finalità e, di conseguenza, la necessità della misura non siano definite chiaramente. Al riguardo i considerando della proposta tacciono, e la relazione sulla valutazione d’impatto si limita ad affermare che «la pubblicazione delle sanzioni è un elemento importante per garantire che abbiano un effetto dissuasivo sui destinatari, ed è necessaria per garantire che producano un effetto dissuasivo sul pubblico in generale». Tuttavia la relazione non esamina se modalità meno intrusive avrebbero potuto garantire il medesimo risultato in termini di effetto deterrente senza ledere il diritto al rispetto della vita privata degli interessati. In particolare, non spiega perché sanzioni pecuniarie o di altro tipo che non incidono sulla vita privata non sarebbero sufficienti.

26. La relazione sulla valutazione d’impatto non sembra inoltre tenere in sufficiente considerazione modalità di pubblicazione delle informazioni meno intrusive, come limitare la pubblicazione all’identità degli enti creditizi o valutare la necessità della pubblicazione caso per caso. Soprattutto quest’ultima possibilità a prima vista sembra offrire una soluzione più proporzionata, specialmente se si considera che la pubblicazione stessa è una sanzione ai sensi dell’articolo 67, paragrafo 2, lettera a), e che l’articolo 69 stabilisce che nel decidere l’applicazione di sanzioni le autorità competenti tengono conto di tutte le circostanze pertinenti (cioè una valutazione caso per caso), per esempio la gravità della violazione, il grado di responsabilità personale, la recidiva, le perdite subite dai terzi, eccetera. L’obbligo di pubblicazione delle sanzioni in ogni caso di cui all’articolo 68 è incompatibile con il regime sanzionatorio istituito dagli articoli 67 e 69.

27. La relazione sulla valutazione d’impatto dedica soltanto un paio di paragrafi a spiegare perché la pubblicazione caso per caso non sia sufficiente. Afferma che lasciando alle autorità competenti il compito di decidere «se la pubblicazione sia opportuna» si ridurrebbe l’effetto deterrente della pubblicazione stessa (19). Tuttavia, a parere del GEPD, è proprio questo aspetto — cioè la possibilità di valutare il caso alla luce delle circostanze specifiche — a rendere questa soluzione più proporzionata e quindi preferibile all’obbligo di pubblicazione in ogni caso. Questa discrezione permetterebbe all’autorità competente, per esempio, di evitare la pubblicazione nei casi in cui la violazione sia meno grave, la violazione non provochi danni significativi, la parte si sia mostrata disposta a collaborare, eccetera.

2.4.3. La necessità di idonee salvaguardie

28. La direttiva proposta avrebbe dovuto prevedere idonee salvaguardie per garantire il giusto equilibrio tra i diversi interessi in gioco. In primo luogo, sono necessarie salvaguardie relative al diritto dell’accusato di impugnare la decisione dinanzi a un giudice e alla presunzione di innocenza. Al riguardo, si sarebbe dovuto usare un linguaggio specifico nel testo dell’articolo 68, in modo da imporre alle autorità competenti di adottare opportuni provvedimenti nei casi in cui la decisione sia oggetto di ricorso e in cui venga infine revocata da un giudice (20).

29. In secondo luogo, la direttiva proposta dovrebbe garantire il rispetto dei diritti degli interessati in modo proattivo. Il GEPD riconosce che la versione finale della proposta prevede la possibilità di escludere la pubblicazione nel caso in cui provochi danni sproporzionati. Tuttavia un approccio proattivo dovrebbe prevedere che gli interessati siano preventivamente informati del fatto che la decisione di applicare sanzioni nei loro confronti sarà pubblicata e che, in forza dell’articolo 14 della direttiva 95/46/CE, è loro riconosciuto il diritto di opporsi per motivi preminenti e legittimi (21).

30. In terzo luogo, la direttiva proposta non specifica il mezzo attraverso il quale l’informazione sarà pubblicata ma, nella pratica, è immaginabile che nella maggior parte degli Stati membri la pubblicazione avverrà su Internet. Le pubblicazioni su Internet presentano pericoli e criticità specifiche riguardanti, in particolare, la necessità di garantire che le informazioni siano a disposizione online solo per il periodo strettamente necessario e che i dati non possano essere manipolati o alterati. L’uso di motori di ricerca esterni comporta inoltre il rischio che le informazioni siano estrapolate dal contesto e inoltrate attraverso e al di fuori di Internet in modo difficile da controllare (22).

31. Alla luce di quanto precede, è necessario imporre agli Stati membri di assicurare che i dati personali degli interessati siano a disposizione online solo per un periodo di tempo ragionevole, al termine del quale saranno sistematicamente cancellati (23). Gli Stati membri dovrebbero inoltre essere tenuti a garantire idonee salvaguardie e misure di sicurezza, soprattutto contro i rischi connessi all’uso dei motori di ricerca esterni (24).

2.4.4. Conclusioni sulla pubblicazione

32. Il GEPD è del parere che la disposizione relativa all’obbligo di pubblicazione delle sanzioni — così com’è attualmente formulata — non sia compatibile con il diritto fondamentale al rispetto della vita privata e alla protezione dei dati. Il legislatore dovrebbe valutare con attenzione la necessità del sistema proposto e verificare se l’obbligo di pubblicazione non vada oltre lo stretto necessario per conseguire l’obiettivo di interesse pubblico perseguito e se non esistano misure meno restrittive per ottenere il medesimo obiettivo. Subordinatamente all’esito di questo test della proporzionalità, l’obbligo di pubblicazione dovrebbe in ogni caso essere sostenuto da salvaguardie idonee a garantire il rispetto della presunzione di innocenza, il diritto degli interessati di opporsi, la sicurezza/esattezza dei dati e la loro cancellazione dopo un adeguato periodo di tempo.

2.5. Segnalazione di violazioni

33. L’articolo 70 della direttiva proposta riguarda i meccanismi per la segnalazione di violazioni. Pur potendo essere uno strumento efficace per garantire la conformità, tali sistemi sollevano questioni significative dal punto di vista della protezione dei dati (25). Il GEPD accoglie con favore il fatto che la proposta contenga salvaguardie specifiche, da sviluppare ulteriormente a livello nazionale, riguardanti la protezione delle persone che segnalano sospette violazioni e, più in generale, la protezione dei dati personali. Il GEPD è consapevole del fatto che la direttiva proposta si limita a stabilire gli elementi principali del regime che gli Stati membri dovranno istituire. Desidera nondimeno richiamare l’attenzione sugli aspetti seguenti.

34. Come in altri pareri (26), il GEPD sottolinea la necessità di introdurre un riferimento specifico alla necessità di tutelare la riservatezza dei denuncianti e degli informatori. Il GEPD segnala che la posizione dei denuncianti è delicata. Occorre garantire alle persone che forniscono tali informazioni che i dati sulla loro identità non saranno rivelati a terzi, in particolare al presunto autore dell’illecito denunciato (27). La riservatezza dell’identità del denunciante deve essere garantita in tutte le fasi della procedura, purché ciò non sia in contrasto con le normative nazionali che disciplinano i procedimenti giudiziari. In particolare, potrebbe essere necessario rivelare l’identità del denunciante nel contesto di ulteriori indagini o di successivi procedimenti giudiziari (compreso il caso in cui si accerti che il denunciante ha dichiarato il falso in malafede) (28). Alla luce di quanto precede, il GEPD raccomanda di aggiungere all’articolo 70, paragrafo 2, lettera b), la disposizione seguente: «l’identità di detti dipendenti è garantita in tutte le fasi della procedura, fatte salve le disposizioni nazionali che ne impongano la comunicazione nel contesto di ulteriori indagini o di successivi procedimenti giudiziari».

35. Il GEPD evidenzia altresì l’importanza di prevedere norme adeguate a garantire il diritto di accesso delle persone accusate, che è strettamente legato ai diritti di difesa (29). Le procedure per il ricevimento di segnalazioni e per il relativo seguito di cui all’articolo 70, paragrafo 2, lettera a), dovrebbero garantire che i diritti di difesa delle persone accusate, quali il diritto di essere informato, il diritto di accesso al fascicolo e la presunzione di innocenza, siano adeguatamente rispettati e limitati soltanto nella misura strettamente necessaria (30). Al riguardo il GEPD propone di aggiungere nella direttiva proposta anche la disposizione di cui all’articolo 29, lettera d), della proposta della Commissione concernente il regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato, che impone agli Stati membri di introdurre «procedure adeguate per garantire il diritto di difesa del presunto responsabile, nonché il diritto a essere sentito prima che venga presa una decisione che lo riguarda e il diritto a un effettivo ricorso giurisdizionale nei confronti di qualsiasi decisione o misura che lo riguardi».

36. Infine, per quanto riguarda l’articolo 70, paragrafo 2, lettera c), il GEPD è lieto di constatare che la disposizione impone agli Stati membri di garantire la protezione dei dati personali concernenti sia la persona accusata sia la persona che segnala la violazione, conformemente ai principi stabiliti dalla direttiva 95/46/CE. Propone tuttavia di eliminare «i principi stabiliti dalla», al fine di rendere il rimando alla direttiva più completo e vincolante. Per quanto riguarda la necessità di rispettare la normativa in materia di protezione dei dati nell’attuazione pratica dei regimi, il GEPD desidera sottolineare, in particolare, le raccomandazioni formulate dal gruppo di lavoro «articolo 29» nel parere del 2006 relativo alla denuncia di irregolarità. Tra l’altro, nell’attuare i sistemi nazionali, gli enti interessati devono tenere presente la necessità di rispettare la proporzionalità limitando il più possibile le categorie di soggetti autorizzati a presentare denunce, le categorie di soggetti denunciabili e le violazioni per le quali possono essere denunciati; la necessità di promuovere denunce nominative e riservate rispetto alle denunce anonime; la necessità di prevedere la possibilità di rivelare l’identità del denunciante nel caso in cui abbia dichiarato il falso in malafede; e la necessità di rispettare termini rigorosi di conservazione dei dati.

3. CONCLUSIONI

37. Il GEPD formula le seguenti raccomandazioni: — inserire una disposizione sostanziale nelle proposte, così formulata: «Per quanto riguarda il trattamento di dati personali effettuato dagli Stati membri nel quadro del presente regolamento, le autorità competenti applicano le disposizioni della normativa nazionale di attuazione della direttiva 95/46/CE. Per quanto riguarda il trattamento di dati personali effettuato dall’ABE nel quadro del presente regolamento, l’ABE si conforma alle disposizioni del regolamento (CE) n. 45/2001», — modificare l’articolo 54, paragrafo 1, secondo comma, al fine di permettere la divulgazione di informazioni riservate soltanto in forma sommaria o globale, «cosicché non si possano individuare i singoli istituti creditizi e le singole persone fisiche» (corsivo dell’autore), — precisare all’articolo 48 e all’articolo 56 che gli accordi con i paesi terzi o le autorità dei paesi terzi che prevedono il trasferimento di dati personali devono conformarsi alle condizioni previste per il trasferimento dei dati personali verso paesi terzi di cui al capo IV della direttiva 95/46/CE e al regolamento (CE) n. 45/2001, nonché introdurre nella direttiva proposta una disposizione analoga all’articolo 23 della proposta di regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato (31), — alla luce dei dubbi espressi nel presente parere, valutare la necessità e la proporzionalità del sistema proposto che impone l’obbligo di pubblicazione delle sanzioni. Subordinatamente all’esito del test di necessità e proporzionalità, prevedere in ogni caso salvaguardie idonee a garantire il rispetto della presunzione di innocenza, il diritto degli interessati di opporsi, la sicurezza/esattezza dei dati e la loro cancellazione dopo un adeguato periodo di tempo, — all’articolo 70, paragrafo2: 1) modificare la lettera b) aggiungendo una disposizione che reciti: «l’identità di detti dipendenti è garantita in tutte le fasi della procedura, fatte salve le disposizioni nazionali che ne impongano la comunicazione nel contesto di ulteriori indagini o di successivi procedimenti giudiziari»; 2) aggiungere una lettera d) che imponga agli Stati membri di introdurre «procedure adeguate per garantire il diritto di difesa del presunto responsabile, nonché il diritto a essere sentito prima che venga presa una decisione che lo riguarda e il diritto a un effettivo ricorso giurisdizionale nei confronti di qualsiasi decisione o misura che lo riguardi»; 3) eliminare «i principi stabiliti dalla» alla lettera c) della disposizione.

Fatto a Bruxelles, il 10 febbraio 2012 Giovanni BUTTARELLI Garante europeo aggiunto della protezione dei dati

(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 8 del 12.1.2001, pag. 1.

(3) Pareri del GEPD del 10 febbraio 2012 sul pacchetto legislativo relativo alla revisione della legislazione bancaria, alle agenzie di rating del credito, ai mercati degli strumenti finanziari (MiFID/MiFIR) e agli abusi di mercato.

(4) COM(2011) 453.

(5) COM(2011) 452.

(6) Relazione di accompagnamento della direttiva proposta, pagg. 2-3.

(7) Relazione di accompagnamento del regolamento proposto, pagg. 2-3.

(8) Cfr., in particolare, gli articoli 24, 48 e 51 della direttiva proposta.

(9) Articolo 65, paragrafo 2, e articolo 68 della direttiva proposta.

(10) Articolo 70 della direttiva proposta.

(11) Articolo 435 del regolamento proposto.

(12) Proposta di regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato, COM(2011) 651.

(13) Cfr. nota 12.

(14) Cfr. parere del 10 febbraio 2012 sulle proposte della Commissione riguardanti il regolamento del Parlamento europeo e del Consiglio relativo all’abuso di informazioni privilegiate e alla manipolazione del mercato e la direttiva del Parlamento europeo e del Consiglio relativa alle sanzioni penali in caso di abuso di informazioni privilegiate e di manipolazione del mercato, COM(2011) 651.

(15) L’ambito di applicazione personale delle sanzioni è chiarito all’articolo 65 della direttiva proposta, il quale stabilisce che gli Stati membri assicurano che in caso di violazione degli obblighi a carico di enti, società di partecipazione finanziaria e società di partecipazione mista possano essere applicate sanzioni ai membri dell’organo di gestione e ad ogni altro soggetto responsabile della violazione ai sensi della normativa nazionale.

(16) Cfr. relazione sulla valutazione d’impatto, pag. 42 e segg.

(17) Cause riunite C-92/09 e C-93/09, Schecke, punti 56-64.

(18) In proposito cfr. anche il parere del GEPD del 15 aprile 2011 sulle regole finanziarie applicabili al bilancio annuale dell’Unione (GU C 215 del 21.7.2011, pag. 13).

(19) Cfr. pagg. 44-45.

(20) Per esempio, le autorità nazionali potrebbero prendere in considerazione le misure seguenti: rinviare la pubblicazione finché il ricorso viene respinto o, come proposto nella relazione sulla valutazione d’impatto, indicare chiaramente che la decisione è oggetto di ricorso e che l’interessato è presunto innocente fino alla decisione definitiva, pubblicare una rettifica qualora la decisione sia revocata da un giudice.

(21) Cfr. parere del GEPD del 10 aprile 2007 sul finanziamento della politica agricola comune (GU C 134 del 16.6.2007, pag. 1).

(22) Al riguardo cfr. il documento pubblicato dal Garante italiano per la protezione dei dati, Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web, disponibile all’indirizzo: http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(23) Questa preoccupazione riguarda anche il più generale diritto all’oblio, la cui inclusione nel nuovo quadro legislativo per la protezione dei dati personali è in discussione.

(24) Queste misure e salvaguardie possono consistere, per esempio, nell’escludere l’indicizzazione dei dati da parte dei motori di ricerca esterni.

(25) Il gruppo di lavoro «articolo 29» ha pubblicato un parere su tali regimi nel 2006, in cui esamina gli aspetti della questione legati alla protezione dei dati: parere 1/2006 relativo all’applicazione della normativa UE sulla protezione dei dati alle procedure interne per la denuncia delle irregolarità riguardanti la tenuta della contabilità, i controlli contabili interni, la revisione contabile, la lotta contro la corruzione, la criminalità bancaria e finanziaria. Il parere è disponibile all’indirizzo: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(26) Cfr., per esempio, parere del GEPD del 15 aprile 2011 sulle regole finanziarie applicabili al bilancio annuale dell’Unione (GU C 215 del 21.7.2011, pag. 13), e parere del 1o giugno 2011 relativo alle indagini svolte dall’Ufficio per la lotta antifrode (OLAF) (GU C 279 del 23.9.2011, pag. 11).

(27) L’importanza di garantire che l’identità del denunciante resti segreta è già stata sottolineata dal GEPD in una lettera al Mediatore europeo del 30 luglio 2010, relativa al caso 2010-0458, reperibile nel sito Internet del GEPD (http://www.edps.europa.eu). Cfr. anche pareri del GEPD sul controllo preventivo del 23 giugno 2006 (caso 2005-0418), concernente le indagini interne dell’OLAF, e del 4 ottobre 2007 (casi 2007-47, 2007-48, 2007-49, 2007-50, 2007-72), concernente le indagini esterne dell’OLAF.

(28) Cfr. parere del 15 aprile 2011 sulle regole finanziarie applicabili al bilancio annuale dell’Unione, disponibile all’indirizzo: http://www.edps.europa.eu

(29) Al riguardo cfr. il documento del GEPD Guidelines concerning the processing of personal data in administrative inquiries and disciplinary proceedings by European institutions and bodies, pointing out the close relationship between the right of access of the data subjects and the right of defence of the persons being accused, pagg. 8 e 9 (Linee guida relative al trattamento di dati personali nelle indagini amministrative e nei procedimenti disciplinari delle istituzioni e degli organismi europei, in cui si dà risalto alla stretta relazione fra il diritto di accesso dell’interessato e il diritto di difesa della persona accusata), disponibile all’indirizzo: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_EN.pdf

(30) Cfr. parere del gruppo di lavoro «articolo 29» relativo alla denuncia di irregolarità, pagg. 13-14.

(31) Cfr. nota 12.