COMMISSIONE EUROPEA Bruxelles, 14.10.2022 COM(2022) 530 final COMUNICAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO Prima relazione sull'applicazione del regolamento sulla protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione europea (regolamento 2018/1725)



Indice 1 Introduzione 2 Norme distinte in materia di protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione allineate alla normativa dell'UE sulla protezione dei dati 3 Attuazione dell'EUDPR in seno alle istituzioni, agli organi e agli organismi dell'Unione 3.1 Il ruolo delle istituzioni, degli organi e degli organismi dell'Unione in qualità di titolari del trattamento 3.2 Esercizio dei diritti degli interessati 3.3 Limitazione dei diritti dell'interessato mediante norme interne 3.4 Responsabili della protezione dei dati 3.5 Valutazioni d'impatto sulla protezione dei dati 3.6 Trasferimenti internazionali di dati 4 Attività del GEPD 4.1 Il GEPD come autorità di controllo per la protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione 4.2 Il GEPD come consulente del legislatore dell'UE 4.3 Cooperazione tra il GEPD e le autorità nazionali per la protezione dei dati 4.4 Risorse del GEPD 5 Uso da parte della Commissione delle competenze ad adottare atti delegati e atti di esecuzione 6 Norme sulla protezione dei dati per gli organi e gli organismi che si occupano di cooperazione di polizia e di cooperazione giudiziaria in materia penale 6.1 Estensione dell'applicazione del capo dell'EUDPR sulle attività di contrasto

6.2 Chiarire l'applicabilità di talune disposizioni dell'EUDPR al trattamento dei dati operativi 6.3 Poteri di controllo del GEPD sugli organi e gli organismi dell'UE 7 Via da seguire ALLEGATO

1Introduzione Il regolamento sulla protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione europea ("EUDPR") è il quadro giuridico principale in materia di protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione quando trattano dati personali in qualità di titolari del trattamento o responsabili del trattamento. Il regolamento costituisce un pilastro della buona governance e della buona condotta amministrativa a livello dell'UE. Esso si applica dall'11 dicembre 2018, quando ha abrogato e sostituito il suo predecessore, il regolamento (CE) 45/2001. La presente comunicazione costituisce la prima relazione sull'applicazione dell'EUDPR, ai sensi dell'articolo 97 del medesimo regolamento. Essa inoltre riesamina gli atti giuridici adottati a norma dei trattati che disciplinano il trattamento dei dati personali operativi da parte degli organi e degli organismi dell'Unione nell'esercizio di attività rientranti nell'ambito di applicazione della cooperazione di polizia e della cooperazione giudiziaria in materia penale, conformemente all'articolo 98 EUDPR. La Commissione ha raccolto informazioni sull'applicazione dell'EUDPR attraverso un questionario somministrato nell'ottobre 2021, mediante il quale le istituzioni, gli organi e gli organismi dell'Unione sono stati invitati a condividere le loro esperienze in merito all'applicazione dell'EUDPR. In totale hanno risposto in 56 fra istituzioni, organi e organismi dell'Unione, e le statistiche relative alle istituzioni, agli organi e agli organismi dell'Unione presentate nella relazione sono basate su tali risposte. Un invito a contribuire è stato inviato al Garante europeo della protezione dei dati ("GEPD") nella sua qualità di autorità di controllo. La Commissione ha inoltre pubblicato un invito a presentare contributi, che ha permesso anche al pubblico di presentare osservazioni. Le questioni sollevate nelle poche osservazioni ricevute in risposta a tale invito sono affrontate nella presente relazione. La presente relazione colloca l'EUDPR nel contesto della normativa dell'UE sulla protezione dei dati, illustra la sua applicazione da parte delle istituzioni, degli organi e degli organismi dell'Unione e le attività del GEPD, e analizza l'applicazione del capo concernente gli organi e gli organismi dell'Unione che svolgono attività rientranti nel settore della cooperazione di polizia e della cooperazione giudiziaria in materia penale. La relazione si conclude delineando la via da seguire. 2Norme distinte in materia di protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione allineate alla normativa dell'UE sulla protezione dei dati Gli strumenti principali nell'UE per la protezione dei dati sono il regolamento generale sulla protezione dei dati ("GDPR"), la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie ("LED") e la direttiva e-privacy. Essi tuttavia non si applicano al trattamento dei dati da parte delle istituzioni, degli organi e degli organismi dell'Unione. Si rendono pertanto necessarie norme sulla protezione dei dati distinte, ma coerenti, per le istituzioni, gli organi e gli organismi dell'Unione. L'EUDPR prevede tali norme. Per garantire un approccio coerente alla protezione dei dati personali e alla loro libera circolazione nell'UE, l'EUDPR è allineato per quanto possibile alle norme sulla protezione dei dati adottate per il settore pubblico contenute nel GDPR e nella LED. Ogniqualvolta segua gli stessi principi del GDPR, l'EUDPR dovrebbe essere interpretato come il GDPR, poiché dovrebbe essere inteso come equivalente ad esso. Lo stesso dicasi per le norme allineate alla LED. L'EUDPR è adattato al contesto specifico delle istituzioni, degli organi e degli organismi dell'Unione, come illustrato nei punti che seguono. ·Poiché il suo ambito di applicazione è esclusivamente quello delle istituzioni, degli organi e degli organismi dell'Unione in quanto organi pubblici, varie disposizioni del GDPR che interessano soltanto il settore privato sono state omesse. Ad esempio, la possibilità di effettuare il trattamento dei dati fondandosi sulla base giuridica dei "legittimi interessi" del titolare del trattamento non è prevista nell'EUDPR. ·L'EUDPR rinvia al GDPR e alla LED per varie attribuzioni di competenze alla Commissione ai fini dell'adozione di atti di esecuzione o di atti delegati anziché ripeterle per esteso.

Ad esempio, l'EUDPR non prevede un meccanismo per l'adozione di decisioni di adeguatezza per i trasferimenti internazionali di dati, ma le istituzioni, gli organi e gli organismi dell'Unione possono fondarsi anche sulle decisioni di adeguatezza adottate ai sensi del GDPR o della LED. ·Inoltre l'EUDPR istituisce direttamente il GEPD, definendone i compiti, le competenze e le procedure di nomina. Ai sensi del GDPR e della LED, le rispettive autorità di controllo sono istituite ai sensi del diritto nazionale, conformemente alle disposizioni contenute in tali due atti. ·Il capo dell'EUDPR applicabile agli organi e agli organismi dell'Unione nel settore dell'applicazione del diritto penale è funzionalmente equivalente, per tali organi e organismi, alla LED. In quanto regolamento direttamente applicabile, esso è tuttavia formulato in termini differenti. Il regolamento prevede norme generali destinate a essere integrate, ove necessario, da disposizioni specifiche contenute negli atti istitutivi degli organi e degli organismi che operano in tale settore. Esso prevede un regime su misura per il trattamento di dati personali operativi, tenendo conto della natura specifica di tale settore, ad esempio le norme in materia di informazione degli interessati, che garantiscono la tutela delle indagini. 3Attuazione dell'EUDPR in seno alle istituzioni, agli organi e agli organismi dell'Unione

3.1Il ruolo delle istituzioni, degli organi e degli organismi dell'Unione in qualità di titolari del trattamento In linea generale dalle risposte al questionario trasmesse dalle istituzioni, dagli organi e dagli organismi dell'Unione risulta che i primi anni di applicazione dell'EUDPR hanno contribuito efficacemente al rafforzamento della loro cultura generale in materia di protezione dei dati.

A tal riguardo, il 94 % delle istituzioni, degli organi e degli organismi dell'Unione ha dichiarato che l'entrata in vigore dell'EUDPR ha aumentato in discreta o in ampia misura la consapevolezza dell'organizzazione in materia di norme sulla protezione dei dati. In generale, le istituzioni, gli organi e gli organismi dell'Unione hanno indicato che l'EUDPR ha avuto un impatto positivo sulle loro politiche in materia di protezione dei dati e che il loro personale è maggiormente consapevole della responsabilità della rispettiva organizzazione quale titolare del trattamento e delle disposizioni per il trattamento di dati personali. Le istituzioni, gli organi e gli organismi dell'Unione hanno menzionato come principali effetti dell'EUDPR rispetto all'abrogato regolamento 45/2001 lo svolgimento di valutazioni d'impatto sulla protezione dei dati, l'individuazione e la gestione di violazioni dei dati e la considerazione della protezione dei dati fin dalla progettazione e per impostazione predefinita. Come il GDPR, l'EUDPR rende più evidente la possibilità di una contitolarità del trattamento – più organizzazioni determinano congiuntamente le finalità e i mezzi del trattamento di dati personali. Il GEPD ha fornito orientamenti su tale tema e la Commissione ha elaborato modelli interni per accordi di contitolarità del trattamento. Sebbene gli obblighi di responsabilizzazione aggiuntivi necessari a dimostrare il rispetto dell'EUDPR da parte delle istituzioni, degli organi e degli organismi dell'Unione siano stati generalmente accolti con favore, alcune istituzioni, organi o organismi dell'Unione hanno osservato che le norme dell'EUDPR hanno determinato un aumento del carico di lavoro.

Essi hanno altresì sottolineato che l'EUDPR prevede norme relativamente complesse, il che significa che sono richieste competenze maggiori all'interno delle istituzioni, degli organi e degli organismi dell'Unione, ivi compreso fra i loro responsabili della protezione dei dati, nonché nelle reti dei coordinatori per la protezione dei dati all'interno delle istituzioni, degli organi e degli organismi dell'Unione che possiedono tali reti. Tutte le istituzioni, gli organi e gli organismi dell'Unione, salvo due, tengono un registro dei trattamenti in un registro centrale. Sebbene questo non sia un obbligo specifico imposto dall'EUDPR, si tratta di una buona prassi raccomandata anche dal GEPD. Inoltre il 72 % delle istituzioni, degli organi e degli organismi dell'Unione ha registrato tutte le notifiche al responsabile della protezione dei dati ai sensi del precedente regolamento. Gli organi che non hanno ancora terminato questo compito dovrebbero rivedere e aggiornare la documentazione relativa ai loro trattamenti al fine di assicurare che sia completa e aggiornata. 3.2Esercizio dei diritti degli interessati L'EUDPR attribuisce agli interessati un'ampia gamma di diritti concernenti il trattamento dei loro dati personali, coerentemente con il GDPR. Alle istituzioni, agli organi e agli organismi dell'Unione, in qualità di titolari del trattamento, incombe l'obbligo specifico di agevolare l'esercizio di tali diritti. Di conseguenza il 96 % delle istituzioni, degli organi e degli organismi dell'Unione ha dichiarato di aver svolto attività di sensibilizzazione, come l'aggiornamento delle informazioni disponibili al pubblico concernenti i propri trattamenti, messaggi informativi o guide per gli interessati. Una serie di istituzioni, organi e organismi dell'Unione, fra i quali la Commissione, la Banca centrale europea e il Servizio europeo di azione esterna, ha segnalato un chiaro aumento delle richieste ricevute da persone fisiche fra il 2018 e il 2021. Tuttavia, per altri, come la Corte di giustizia dell'Unione europea, il Comitato economico e sociale europeo e l'Agenzia dell'Unione europea per l'asilo, i numeri sono rimasti stabili o hanno oscillato senza evidenziare una tendenza chiara. Non è ancora possibile individuare una tendenza chiara quanto al numero di richieste presentate dagli interessati a seguito dell'entrata in vigore dell'EUDPR, poiché il modo in cui i differenti tipi di richieste sono registrati varia a seconda dell'istituzione, organo od organismo dell'Unione considerato. 3.3Limitazione dei diritti dell'interessato mediante norme interne Analogamente al GDPR, l'EUDPR prevede la possibilità di limitare taluni diritti degli interessati. Ciò può avvenire mediante atti legislativi e norme interne. Per quanto concerne le norme interne, si applicano criteri rigidi. Tali norme devono essere chiare e precise e la loro applicazione prevedibile per le persone che vi sono soggette. Le norme devono essere pubblicate nella Gazzetta ufficiale e soddisfare i requisiti previsti nella Carta dei diritti fondamentali e nella Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali. Le limitazioni fondate sulle norme interne possono riguardare soltanto il funzionamento delle istituzioni, degli organi e degli organismi dell'Unione. Esse devono rispettare i diritti fondamentali, essere misure necessarie e proporzionate in una società democratica e avere come scopo la salvaguardia di uno degli obiettivi specificamente elencati nell'EUDPR. Tutti gli interessati i cui diritti siano stati oggetto di limitazione hanno diritto di proporre reclamo al GEPD. Una vasta maggioranza (84 %) di istituzioni, organi e organismi dell'Unione ha adottato norme interne. Ad esempio, sono state introdotte norme per consentire di rinviare la comunicazione di informazioni a una persona interessata da un'indagine amministrativa interna. In altri casi, l'obiettivo di tali norme è stato garantire il mantenimento di una cooperazione efficace con gli Stati membri nei settori in cui le attività delle istituzioni, degli organi e degli organismi dell'Unione si fondano sulle informazioni ricevute dalle autorità competenti degli Stati membri. Ad esempio, le norme interne adottate dalla Commissione per il trattamento dei dati personali nell'ambito delle sue attività in materia di concorrenza, lotta antifrode e audit interno prevedono la possibilità di introdurre limitazioni ai diritti degli interessati quando i dati personali sono ottenuti dalle autorità competenti degli Stati membri. Tali norme prevedono la possibilità di imporre limitazioni analoghe quando le autorità nazionali hanno imposto limitazioni sulla base di una misura legislativa ammessa ai sensi del GDPR o della LED. Nei casi in cui hanno adottato norme interne che limitano i diritti degli interessati, le istituzioni, gli organi e gli organismi dell'Unione di regola le applicano caso per caso, come richiesto dalle norme interne stesse. Tuttavia il 69 % delle istituzioni, degli organi e degli organismi dell'Unione che dispongono delle norme di cui all'articolo 25 dichiara di non avervi ancora fatto ricorso.

Le istituzioni, gli organi e gli organismi dell'Unione che vi hanno fatto ricorso hanno segnalato meno di 10 casi di limitazioni, ad eccezione del Parlamento europeo e della Commissione.

La necessità di limitazioni è emersa più spesso nelle attività dell'OLAF, in particolare per rinviare la comunicazione agli interessati di informazioni sul trattamento dei loro dati personali quando le indagini sono ancora in una fase precoce, in modo da non compromettere la raccolta di prove. L'OLAF ha inoltre applicato diverse limitazioni alle richieste di accesso degli interessati ai loro dati personali, che sono state respinte soltanto al fine di tutelare i diritti e le libertà altrui, ad esempio quando la divulgazione dei dati avrebbe esposto un informatore al rischio di subire ritorsioni. Le norme interne delle istituzioni, degli organi e degli organismi dell'Unione impongono loro, di regola, di informare i rispettivi responsabili della protezione dei dati di qualsiasi limitazione applicata e di fornire agli stessi l'accesso al registro e a qualsiasi documento concernente tali limitazioni. 3.4Responsabili della protezione dei dati L'obbligo della presenza di un responsabile della protezione dei dati in ogni istituzione, organo e organismo dell'Unione era già previsto dal precedente regolamento 45/2001.

L'EUDPR ha conferito maggiore visibilità a tale ruolo, introducendo il principio della responsabilizzazione. Ciò significa che il titolare del trattamento è responsabile per il rispetto delle norme sulla protezione dei dati ed è tenuto a dimostrarlo. Nel 46 % delle istituzioni, degli organi e degli organismi dell'Unione, i responsabili della protezione dei dati sono sostenuti da una rete di coordinatori per la protezione dei dati o strutture analoghe. Le istituzioni, gli organi e gli organismi dell'Unione di dimensioni maggiori (ad esempio, il Parlamento europeo, il segretariato generale del Consiglio, la Commissione e il servizio europeo per l'azione esterna (SEAE)) dispongono con maggiore probabilità di siffatte reti. Il SEAE organizza e gestisce anche una rete di corrispondenti per la protezione dei dati nelle delegazioni dell'UE. Varie istituzioni e vari organi od organismi dell'Unione hanno rilevato un aumento delle responsabilità e del carico di lavoro dei loro responsabili della protezione dei dati (e di conseguenza dei loro coordinatori per la protezione dei dati). Essi hanno riconosciuto la necessità di fornire ai responsabili della protezione dei dati (e ai coordinatori per la protezione dei dati) maggiori risorse per garantire che possano attuare in modo efficace le politiche di protezione dei dati delle loro istituzioni, organi o organismi dell'Unione. È stata menzionata anche la necessità di garantire l'indipendenza dei responsabili della protezione dei dati. In questo contesto sono in atto due tendenze. Da un lato, l'EUDPR pone maggiore enfasi sulla responsabilizzazione del titolare del trattamento, ad esempio eliminando la procedura di controllo preventivo prevista dal precedente regolamento 45/2001, riducendo così gli oneri amministrativi. Dall'altro lato, i titolari del trattamento sollecitano maggiori indicazioni dai responsabili della protezione dei dati e dai coordinatori per la protezione dei dati sul modo migliore per conformarsi all'EUDPR. A tale riguardo, è stato rilevato che la rete dei responsabili della protezione dei dati delle istituzioni, degli organi e degli organismi dell'Unione rappresenta una sede importante per discutere e chiarire alcuni aspetti giuridici e tecnici inerenti al trattamento dei dati da parte delle istituzioni, degli organi e degli organismi dell'Unione. Tale rete fornisce una piattaforma di scambio tra i responsabili della protezione dei dati e il GEPD e tra i responsabili stessi.

La rete collabora su base continuativa e si riunisce solitamente due volte all'anno. Più della metà (54 %) delle istituzioni, degli organi e degli organismi dell'Unione ha allocato maggiori risorse ai propri responsabili della protezione dei dati e, più in generale, alle funzioni concernenti la protezione dei dati. La maggior parte (84 %) delle istituzioni, degli organi e degli organismi dell'Unione ha adattato i propri processi interni per garantire che il personale informi e consulti i responsabili della protezione dei dati in merito a nuovi trattamenti di dati personali.

Ciò avviene, di regola, coinvolgendo i responsabili della protezione dei dati, ad esempio, nei processi di gestione delle modifiche o nei comitati direttivi dei progetti.

3.5Valutazioni d'impatto sulla protezione dei dati Il maggior numero di valutazioni d'impatto sulla protezione dei dati è stato effettuato dalla Banca centrale europea, dalla Banca europea per gli investimenti e dalla Commissione. Rispetto al precedente sistema del "controllo preventivo", previsto dal regolamento 45/2001, il numero di casi trasmessi al GEPD è notevolmente diminuito. Si tratta di una conseguenza attesa di tale modifica, come la riduzione delle consultazioni del GEPD su trattamenti amministrativi quali le valutazioni del personale. La tabella 1 di cui all'allegato fornisce una panoramica delle valutazioni d'impatto sulla protezione dei dati effettuate dalle istituzioni, dagli organi e dagli organismi dell'Unione tra il 2019 e il 2021. La quasi totalità (94 %) delle istituzioni, degli organi e degli organismi dell'Unione ha convenuto che i criteri di cui all'EUDPR per determinare la necessità di svolgere una valutazione d'impatto sulla protezione dei dati individuano in modo adeguato i trattamenti che comportano un rischio elevato. Gli organi che non concordano hanno sottolineato la necessità che il GEPD tenga conto dello sviluppo tecnologico nell'interpretazione di tali criteri. Ad esempio, il cloud computing non è più una tecnologia "nuova" e ciò dovrebbe essere tenuto in considerazione nel valutare la necessità di effettuare una valutazione d'impatto sulla protezione dei dati. Le istituzioni, gli organi e gli organismi dell'Unione che hanno sollevato tale argomento ritengono, in generale, che il testo giuridico sia di per sé sufficientemente chiaro, e che si tratti di una questione di interpretazione da parte del GEPD. L'EUDPR non contiene un obbligo specifico di pubblicare i risultati delle valutazioni d'impatto sulla protezione dei dati. La grande maggioranza (84 %) delle istituzioni, degli organi e degli organismi dell'Unione non pubblica le valutazioni d'impatto sulla protezione dei dati effettuate, mentre il 14 % le pubblica parzialmente o in forma sintetica, eliminando le informazioni che potrebbero compromettere le garanzie di sicurezza adottate. Soltanto uno di essi ha dichiarato di pubblicare integralmente le proprie valutazioni d'impatto sulla protezione dei dati.

La pubblicazione delle valutazioni d'impatto sulla protezione dei dati, se necessario eliminando le informazioni che potrebbero mettere a rischio la sicurezza dei trattamenti, migliora la trasparenza per quanto concerne il rispetto da parte delle istituzioni, degli organi e degli organismi dell'Unione delle norme dell'EUDPR e costituisce una buona prassi raccomandata dal GEPD. 3.6Trasferimenti internazionali di dati Quasi tutte (91 %) le istituzioni, gli organi e gli organismi dell'Unione hanno segnalato che le loro attività comportano trasferimenti internazionali di dati personali, tra cui trasferimenti di dati verso paesi non appartenenti all'UE/SEE e verso organizzazioni internazionali. Tuttavia diverse istituzioni e diversi organi e organismi dell'Unione hanno indicato che questi trasferimenti sono rari o riguardano soltanto una quantità limitata di dati personali. Per quanto riguarda gli strumenti di trasferimento utilizzati, le istituzioni, gli organi e gli organismi dell'Unione hanno menzionato principalmente le decisioni di adeguatezza (adottate ai sensi del GDPR o della LED) e strumenti contrattuali, ad esempio per i trasferimenti di dati a società private. Per i trasferimenti di dati a enti pubblici sono utilizzati anche altri strumenti, quali accordi giuridicamente vincolanti e accordi amministrativi. Inoltre il 51 % delle istituzioni, degli organi e degli organismi dell'Unione ha dichiarato di effettuare trasferimenti limitati e occasionali, ad esempio per organizzare la formazione, sulla base dei motivi previsti dalla normativa ai fini del trasferimento dei dati (le "deroghe"). Nella pratica, i trasferimenti di dati non sono di regola eseguiti direttamente dalle istituzioni, dagli organi o dagli organismi dell'Unione, bensì dai responsabili del trattamento (che non sono istituzioni, organi o organismi dell'Unione), i quali agiscono per conto dei primi. La Commissione ha quindi affrontato specificamente questa situazione nelle clausole contrattuali tipo adottate ai sensi del GDPR nel giugno 2021, per aiutare i titolari del trattamento e i responsabili del trattamento ad adempiere ai requisiti del GDPR e dell'EUDPR. In particolare, i responsabili del trattamento nello Spazio economico europeo (SEE) hanno la possibilità di includere queste clausole contrattuali tipo nei contratti per il trasferimento internazionale di dati con i loro sub-responsabili del trattamento in paesi terzi. Ciò garantisce il rispetto delle norme dell'EUDPR concernenti il ricorso a sub-responsabili per conto delle istituzioni, degli organi e degli organismi dell'Unione, poiché gli obblighi in materia di protezione dei dati sono allineati nei contratti fra: i) l'istituzione, l'organo o l'organismo dell'Unione e il responsabile del trattamento; e ii) il responsabile del trattamento e il suo sub-responsabile. In particolare, le istituzioni, gli organi e gli organismi dell'Unione possono garantire siffatto allineamento utilizzando le clausole contrattuali tipo adottate dalla Commissione per la disciplina dei rapporti tra titolari del trattamento e responsabili del trattamento. Per fornire ulteriori strumenti che assicurino adeguate garanzie per i trasferimenti diretti di dati da istituzioni, organi e organismi dell'Unione verso paesi terzi (cioè senza il coinvolgimento di un responsabile del trattamento UE/SEE), la Commissione sta attualmente elaborando clausole contrattuali tipo ai sensi dell'articolo 48, paragrafo 2, lettera b), EUDPR. Tali clausole saranno allineate, per quanto possibile, alle clausole esistenti adottate ai sensi del GDPR. Infine, in considerazione delle questioni specifiche che sorgono allorché i dati personali sono trasferiti a organizzazioni internazionali (ad esempio in ragione dello status delle organizzazioni internazionali e dei privilegi e delle immunità applicabili), la Commissione sta collaborando con i responsabili della protezione dei dati delle istituzioni, degli organi e degli organismi dell'Unione al fine di elaborare strumenti specifici (ad esempio, accordi amministrativi) adattati a tali trasferimenti. 4Attività del GEPD 4.1Il GEPD come autorità di controllo per la protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione Il GEPD è l'autorità indipendente di controllo per la protezione dei dati per le istituzioni, gli organi e gli organismi dell'Unione e il suo ruolo rispecchia quello delle autorità nazionali di controllo istituite negli Stati membri ai sensi del GDPR e della LED. La tabella 2 di cui all'allegato fornisce una panoramica delle attività di controllo svolte dal GEPD tra il 2018 e il 2021. Poiché l'EUDPR è entrato in vigore l'11 dicembre 2018, i dati per il 2018 forniscono una base di confronto rispetto alla situazione nel vigore del precedente regolamento 45/2001. Il GEPD ha rilevato uno spostamento verso l'attività principale delle istituzioni, degli organi e degli organismi dell'Unione per quanto attiene alle richieste di consultazione da essi formulate a seguito dell'entrata in vigore dell'EUDPR. Ciò significa un aumento delle questioni concernenti il trattamento di dati personali ai fini dell'esecuzione dei compiti assegnati alle istituzioni, agli organi e agli organismi dell'Unione nell'interesse pubblico e una diminuzione di quelle concernenti temi "amministrativi", come la gestione del personale. Il numero di reclami inammissibili ricevuti dal GEPD è aumentato tra il 2019 e il 2021.

La maggior parte dei reclami giudicati inammissibili era diretta contro titolari del trattamento situati negli Stati membri, i quali non sono soggetti al controllo del GEPD, bensì delle autorità nazionali per la protezione dei dati. I numeri del 2018 sono stati più elevati, probabilmente in ragione dell'entrata in vigore del GDPR. Ciò ha portato a una maggiore consapevolezza della popolazione quanto alle norme sulla protezione dei dati, ma anche a un aumento dei reclami inammissibili. Il GEPD può inoltre archiviare un reclamo ammissibile quando è stata raggiunta una composizione amichevole. Per quanto attiene alle ispezioni e alle attività di revisione, il 2019 ha segnato un aumento rispetto ai dati del 2018, seguito da una diminuzione nel 2020 e nel 2021. Ciò si spiega con la pandemia di COVID‑19, che ha reso difficili i controlli in loco, sostituiti da attività di revisione a distanza.

Ai fini della decisione in merito all'ispezione di un'istituzione, un organo o un organismo dell'Unione, il GEPD compie una valutazione dei rischi. Esso tiene conto, ad esempio, del numero di consultazioni richieste, soprattutto quando nel quadro dell'attività principale di un'istituzione, di un organo o di un organismo dell'Unione sono oggetto di trattamento categorie speciali di dati.

Il GEPD può anche decidere di svolgere indagini di propria iniziativa, ad esempio sull'impiego di fornitori di servizi cloud da parte delle istituzioni, degli organi e degli organismi dell'Unione. Per quanto riguarda le violazioni dei dati, il GEPD ha riferito che nella maggior parte dei casi la causa è da individuarsi in errori umani, seguiti da errori tecnici e attacchi esterni. Il GEPD ha fatto uso della maggior parte dei suoi poteri ai sensi dell'EUDPR, tra cui, ad esempio, l'imposizione di divieti temporanei di trattamento. Non ha ancora utilizzato il suo nuovo potere di infliggere sanzioni amministrative pecuniarie, trattandosi di una misura di ultima istanza ai sensi dell'EUDPR. Nel suo contributo alla presente relazione, il GEPD ha inoltre sottolineato di aver investito in attività di sensibilizzazione, come la formazione, con un picco di oltre 4 600 partecipanti stimati nel 2019, dopo l'entrata in vigore dell'EUDPR. Sebbene il numero di partecipanti nel 2020 e nel 2021 sia diminuito rispetto a tale picco, è ancora significativamente più elevato rispetto al numero di riferimento di 1 000 partecipanti stimati nel 2018.

Le istituzioni, gli organi e gli organismi dell'Unione hanno fornito un riscontro ampiamente positivo quanto alle interazioni con il GEPD e alle indicazioni ricevute, e l'86 % di essi ha dichiarato che le risposte erano sempre o quasi sempre facili da comprendere. Le istituzioni, gli organi e gli organismi dell'Unione hanno altresì apprezzato l'aumento dei contatti del GEPD con la rete dei responsabili della protezione dei dati. Tuttavia alcune istituzioni, organi e organismi dell'Unione hanno osservato che la consulenza del GEPD è giunta talvolta troppo tardi. Essi hanno sottolineato l'importanza di un sostegno e di una consulenza continui da parte del GEPD e hanno chiesto orientamenti tempestivi e pratici su alcune questioni relative alla protezione dei dati. Tali questioni comprendono l'attuazione dell'approccio basato sul rischio per i titolari del trattamento, i trasferimenti internazionali e il rapporto tra i titolari del trattamento (compresi i contitolari del trattamento) e i loro responsabili del trattamento. 4.2Il GEPD come consulente del legislatore dell'UE La Commissione consulta formalmente il GEPD, in particolare sulle proposte legislative che incidono sul trattamento dei dati personali, dopo la loro adozione da parte del collegio. Il GEPD risponde a tali consultazioni mediante pareri o commenti. Il GEPD adotta pareri anche di propria iniziativa, come il parere preliminare sullo spazio europeo dei dati sanitari. Se una proposta è di particolare rilevanza per la tutela dei dati, la Commissione può consultare anche il comitato europeo per la protezione dei dati (EDPB). In tali casi, il GEPD e l'EDPB dovrebbero emettere un parere congiunto, per garantire che il legislatore dell'Unione riceva una consulenza coerente. La Commissione consulta inoltre il GEPD in via informale prima che il collegio adotti atti in relazione ai quali è previsto un obbligo di consultazione. In risposta a tali consultazioni, il GEPD trasmette alla Commissione commenti informali. Questa possibilità contribuisce a garantire che gli atti della Commissione siano pienamente conformi alle norme sulla protezione dei dati prima della loro adozione. Le consultazioni informali sono utilizzate in particolare per gli atti riservati o che hanno un impatto più significativo sulla protezione dei dati. L'attività del GEPD come consulente del legislatore dell'UE dipende dal numero di nuove proposte preparate dalla Commissione. Dopo un calo registrato nell'ultimo anno di attività della Commissione uscente, il netto aumento dei commenti formali nel 2021 è dovuto all'aumento del numero di proposte legislative e agli sforzi della Commissione di garantire un'attuazione coerente dell'obbligo di consultazione del GEPD, il che comprende anche gli atti di esecuzione e gli atti delegati che comportano il trattamento di dati personali. A seguito dell'entrata in vigore dell'EUDPR, il segretariato generale della Commissione ha elaborato procedure e sensibilizzato i servizi sull'obbligo di consultare il GEPD. Ciò ha determinato una consultazione più sistematica, anche per gli atti di esecuzione e gli atti delegati. A fini di pianificazione, il GEPD e i servizi della Commissione tengono riunioni annuali sul futuro programma di lavoro e sulle proposte che impongono una consultazione. 4.3Cooperazione tra il GEPD e le autorità nazionali per la protezione dei dati Il GEPD è un membro dell'EDPB e ne espleta i compiti di segreteria. Esso inoltre coopera in altri modi con le autorità di controllo nazionali nell'esercizio delle rispettive funzioni. Fra gli esempi vi sono l'inoltro di reclami all'autorità di controllo per la protezione dei dati competente o i casi che concernono prestatori esterni di servizi ai quali fanno ricorso sia le istituzioni, gli organi o gli organismi dell'Unione, sia titolari del trattamento soggetti al GDPR. Il GEPD inoltre contribuisce attivamente alle attività dell'EDPB, assumendo, ad esempio, il ruolo di redattore principale o co-redattore di orientamenti, oppure contribuendo in altro modo alle sue attività. Vari sistemi informatici su larga scala e agenzie istituite ai sensi del diritto dell'UE richiedono che il GEPD e le autorità nazionali di controllo, ciascuno nell'esercizio delle rispettive competenze, cooperino attivamente per garantire un controllo coordinato. In passato, gli atti istitutivi di ciascun sistema o agenzia contenevano disposizioni specifiche a tal fine. L'EUDPR introduce un sistema armonizzato per il coordinamento del controllo, cui altri atti possono fare rinvio.

Ciò accade per il sistema d'informazione del mercato interno, per ECRIS-TCN, per Eurojust e, da ultimo, per Europol. Altri sistemi prevedono tuttora gruppi di coordinamento del controllo disciplinati nel dettaglio nei loro atti istitutivi, o riferimenti dettagliati a riunioni nell'ambito dell'EDPB. Il GEPD contribuisce altresì al meccanismo di valutazione di Schengen istituito dal regolamento 1053/2013 del Consiglio. Ai sensi di tale regolamento, la Commissione può invitare il GEPD a designare un osservatore ai fini della partecipazione a una visita in loco relativa a un settore rientrante nel suo mandato, ad esempio valutazioni in materia di protezione dei dati. Si tratta di una possibilità corrispondente a quella di Frontex ed Europol di designare osservatori ai fini della valutazione, rispettivamente, della gestione delle frontiere e della cooperazione di polizia.

Ad avviso della Commissione, le competenze degli osservatori del GEPD costituiscono una risorsa importante ai fini delle valutazioni in materia di protezione dei dati. 4.4Risorse del GEPD Il personale del GEPD (compreso il segretariato dell'EDPB) è cresciuto costantemente nel periodo di riferimento, rispecchiando la tendenza generale delle autorità nazionali di controllo per la protezione dei dati. Le attività del segretariato dell'EDPB sono aumentate nel tempo, con una crescente elaborazione di orientamenti, raccomandazioni e pareri da parte dell'EDPB, nonché di altri documenti ai quali il segretariato contribuisce. L'allocazione di risorse sufficienti per il segretariato dell'EDPB è essenziale, dato il ruolo più incisivo che si prevede esso svolgerà nell'applicazione efficace del GDPR. Ciò riguarda in particolare l'obiettivo dell'EDPB di sviluppare una cooperazione più stretta nelle attività strategiche e di ricorrere a nuovi strumenti di sostegno della cooperazione tra le autorità per la protezione dei dati. In particolare, disporre di un segretariato forte e adeguatamente finanziato per sostenere l'attività dell'EDPB è fondamentale per garantire che quest'ultimo possa svolgere il proprio lavoro come richiesto, segnatamente nel contesto del meccanismo di coerenza, il cui impiego, secondo le aspettative, dovrebbe continuare ad aumentare. Nel suo contributo alla presente relazione il GEPD ha ritenuto, in particolare, che qualora gli fossero attribuiti compiti aggiuntivi, ad esempio in qualità di autorità di vigilanza del mercato nel quadro della proposta legislativa sull'intelligenza artificiale, esso dovrebbe essere dotato di risorse aggiuntive corrispondenti. 5Uso da parte della Commissione delle competenze ad adottare atti delegati e atti di esecuzione L'EUDPR contiene varie attribuzioni di competenze alla Commissione ai fini dell'adozione di atti di esecuzione e dell'elaborazione di clausole contrattuali tipo, nonché riferimenti incrociati alle attribuzioni di competenze previste dal GDPR. L'EUDPR contiene disposizioni che le attribuiscono la competenza a elaborare clausole contrattuali tipo di protezione dei dati per i contratti tra il titolare del trattamento e il responsabile del trattamento, corrispondenti all'attribuzione di competenza di cui al GDPR. La Commissione si è avvalsa di tale competenza, e nel giugno 2021 ha adottato clausole contrattuali tipo per i rapporti tra il titolare del trattamento e il responsabile del trattamento, che riguardano sia il GDPR che l'EUDPR. Queste clausole forniscono ai titolari del trattamento strumenti di facile utilizzo per gestire in modo efficace i rapporti con i loro responsabili del trattamento. L'EUDPR conferisce inoltre alla Commissione la competenza ad adottare clausole contrattuali tipo di protezione dei dati per fornire garanzie adeguate in caso di trasferimento di dati personali al di fuori dell'UE/del SEE. La Commissione sta attualmente elaborando tali clausole. 6Norme sulla protezione dei dati per gli organi e gli organismi che si occupano di cooperazione di polizia e di cooperazione giudiziaria in materia penale Il capo IX EUDPR contiene norme per gli organi e gli organismi dell'Unione che trattano dati personali operativi nell'esercizio di attività rientranti nell'ambito di applicazione della cooperazione di polizia e della cooperazione giudiziaria in materia penale ("capo sulle attività di contrasto"). Esso mira a ridurre la frammentazione: ·tra i regimi di protezione dei dati applicabili al trattamento dei dati operativi da parte delle agenzie dell'UE in questo settore;

·rispetto al regime di protezione dei dati applicabile alle attività nazionali di applicazione del diritto penale ai sensi della LED. A tal fine, il capo dell'EUDPR sulle attività di contrasto prevede una serie di norme orizzontali basate sulla LED. Tali norme possono essere integrate, ove necessario, da norme specifiche negli atti istitutivi delle agenzie, a seconda dei rispettivi mandati e della natura specifica dei loro compiti e dei trattamenti di dati. L'EUDPR afferma la necessità di garantire una protezione uniforme e coerente delle persone fisiche nel trattamento dei loro dati personali. A tal fine, esso mira espressamente all'obiettivo di estendere l'applicazione del capo sulle attività di contrasto alle agenzie che, al momento dell'adozione dell'EUDPR, possedevano quadri di protezione dei dati distinti nei loro atti istitutivi, segnatamente Europol e la Procura europea (EPPO). Esso menziona altresì l'eventuale modifica, se del caso, del capo sulle attività di contrasto. 6.1Estensione dell'applicazione del capo dell'EUDPR sulle attività di contrasto Al momento della stesura della presente relazione, il capo dell'EUDPR sulle attività di contrasto si applica al trattamento dei dati personali operativi da parte di: ·Eurojust, integrato da norme specifiche contenute nel regolamento Eurojust; ·Europol, integrato da norme specifiche contenute nel regolamento Europol, che è stato modificato dopo l'entrata in vigore dell'EUDPR; ·Frontex, limitatamente alla piccola parte delle sue attività che rientrano nell'applicazione del diritto penale. Tuttavia il capo dell'EUDPR sulle attività di contrasto non si applica ancora all'EPPO, il cui regolamento istitutivo è stato adottato prima dell'EUDPR. Il regolamento EPPO prevede un regime autonomo per il trattamento dei dati operativi. Ciò produce due conseguenze: in primo luogo, alcune disposizioni del regolamento EPPO differiscono dal punto di vista sostanziale dal capo dell'EUDPR sulle attività di contrasto, come nel caso del trattamento "limitato" dei dati personali. In secondo luogo, alcune disposizioni del regolamento EPPO, seppur simili nella sostanza, sono formulate in modo diverso rispetto al capo dell'EUDPR sulle attività di contrasto, il che potrebbe condurre a interpretazioni diverse. Per ragioni di coerenza e in linea con l'obiettivo generale di ridurre al minimo la frammentazione delle norme sulla protezione dei dati, per l'EPPO si dovrebbe seguire un approccio simile a quello adottato per Eurojust ed Europol. L'obiettivo è garantire l'applicabilità diretta all'EPPO del capo dell'EUDPR sulle attività di contrasto, mantenendo nel regolamento EPPO soltanto le particolarità necessarie. Allo stesso tempo, dato che l'EPPO è operativo soltanto da un anno, nel breve termine è ancora necessario raccogliere maggiori informazioni sull'applicazione pratica del regime di protezione dei dati dell'EPPO. Ciò consentirà di individuare con precisione tali particolarità, tenendo conto della natura dell'EPPO di procura pubblica indipendente dell'UE. 6.2Chiarire l'applicabilità di talune disposizioni dell'EUDPR al trattamento dei dati operativi L'EUDPR stabilisce che "[s]olo l'articolo 3 [definizioni] e il capo IX [capo sulle attività di contrasto] del (...) regolamento si applicano al trattamento dei dati personali operativi". Il capo sulle attività di contrasto contiene disposizioni sostanziali che corrispondono in larga misura alle disposizioni dei capi da II a V EUDPR (principi generali, diritti degli interessati, taluni obblighi dei titolari del trattamento e dei responsabili del trattamento, trasferimenti internazionali di dati), con alcune differenze per tener conto della natura specifica delle attività di contrasto (ad esempio, norme sulle informazioni da prestare agli interessati e sul loro diritto di accesso ai dati che li riguardano). È importante chiarire, in sede di modifica dell'EUDPR, che il capo sulle attività di contrasto prevede norme specifiche soltanto per quanto attiene alle disposizioni corrispondenti di altri capi dell'EUDPR che possiedono un equivalente diretto nel capo sulle attività di contrasto. In questo modo, qualora il legislatore non preveda norme specifiche nell'atto istitutivo di un'agenzia, al trattamento dei dati operativi si applicheranno le disposizioni contenute in capi diversi da quello sulle attività di contrasto, che non possiedono un equivalente diretto in quest'ultimo. Tale modifica migliorerebbe la certezza del diritto e fornirebbe un quadro completo (ad esempio, sulla posizione dei responsabili della protezione dei dati, sulla cooperazione con le autorità nazionali di controllo per la protezione dei dati), anche per eventuali future agenzie in tale settore. Un quadro completo di questo tipo ridurrebbe anche i rischi di frammentazione. 6.3Poteri di controllo del GEPD sugli organi e gli organismi dell'UE Attualmente, i regolamenti istitutivi dell'EPPO, di Eurojust e di Europol contengono disposizioni specifiche sui poteri del GEPD. Il regolamento Europol, come aggiornato, attribuisce al GEPD poteri in linea con quelli di cui all'articolo 58 EUDPR. Trattasi, in particolare, del potere di infliggere sanzioni amministrative pecuniarie e del potere di ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del regolamento, se del caso, in una determinata maniera ed entro un determinato termine. Tuttavia, nel caso dell'EPPO, i poteri del GEPD sono formulati in modo diverso rispetto all'EUDPR. Il GEPD non dispone dei due poteri sopra menzionati. Il regolamento Frontex, limitatamente alla piccola parte delle attività di Frontex soggette al capo sulle attività di contrasto, non contiene disposizioni specifiche sui poteri del GEPD, determinando incertezze per quanto riguarda tali poteri.

Al GEPD potrebbe essere attribuita l'intera gamma di poteri previsti dall'articolo 58 EUDPR attuando le due misure indicate di seguito: 1.chiarire che l'EUDPR, per impostazione predefinita, affida al GEPD il controllo del capo sulle attività di contrasto e i poteri ad esso attribuiti ai sensi dell'articolo 58 del medesimo regolamento, il che rende necessaria la modifica dell'EUDPR come proposto nella sezione precedente. Ciò colmerebbe anche la lacuna nel regolamento Frontex; 2.eliminare le disposizioni sui poteri del GEPD dagli atti istitutivi di organi e organismi, in modo che l'intera gamma dei poteri del GEPD ai sensi dell'EUDPR, come modificato, si applicherebbe direttamente a Eurojust e all'EPPO. L'obiettivo è allinearli il più possibile per ridurre la frammentazione delle norme sulla protezione dei dati. 7Via da seguire Nel complesso, l'EUDPR funziona bene ed è adatto allo scopo. In questa fase la Commissione non proporrà modifiche delle parti equivalenti alle corrispondenti norme del GDPR, mantenendo così il massimo allineamento possibile tra l'EUDPR e il GDPR. Le eventuali modifiche prese in considerazione nella presente relazione riguardano altre parti, segnatamente la relazione fra il capo dell'EUDPR sulle attività di contrasto e le altre disposizioni di tale regolamento. Nella primavera del 2022 la Commissione ha proposto norme per rafforzare la sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell'Unione, che avranno un impatto positivo sulla sicurezza delle informazioni, compresa la protezione dei dati personali.

Tale proposta intende migliorare ulteriormente la resilienza delle istituzioni, degli organi e degli organismi dell'Unione e la loro capacità di risposta agli incidenti in caso di minacce alla cibersicurezza. La Commissione adotterà inoltre le misure descritte nei punti seguenti: -nell'aggiornare gli atti istitutivi dei sistemi informatici su larga scala che contengono tuttora norme dettagliate su un modello di coordinamento del controllo, garantire l'applicazione del modello di coordinamento del controllo di cui all'EUDPR al fine di semplificare le procedure; -valutare modifiche dell'EUDPR al fine di: omigliorare la certezza del diritto e completare il quadro per il trattamento dei dati operativi precisando, all'articolo 2, paragrafo 2, che le disposizioni generali dell'EUDPR si applicano anche al trattamento dei dati personali operativi, salvo che il capo sulle attività di contrasto contenga disposizioni specifiche (come in materia di diritto di accesso). Ciò garantirebbe altresì la disponibilità di un quadro già pronto per eventuali future agenzie nei settori della cooperazione di polizia e della cooperazione giudiziaria in materia penale; ogarantire la partecipazione del GEPD in qualità di osservatore a tutte le valutazioni sulla protezione dei dati nell'ambito del meccanismo di valutazione di Schengen; -in seguito, valutare la modifica dei regolamenti EPPO ed Eurojust in una futura revisione per garantire la piena applicazione delle norme sul trattamento dei dati personali operativi contenute nell'EUDPR, come modificato, tenendo conto della natura specifica di tali organi. Ciò condurrà altresì all'armonizzazione dei poteri del GEPD su tali organi e organismi con i poteri di cui esso dispone in relazione ad altre istituzioni e altri organi e organismi dell'Unione; -proporre clausole contrattuali tipo per i trasferimenti internazionali di dati personali per le istituzioni, gli organi e gli organismi dell'Unione; -continuare a cooperare strettamente con il GEPD (e, se del caso, con l'EDPB) per garantire una consultazione tempestiva e mirata sulle nuove proposte e proseguire le consultazioni informali con il GEPD su testi importanti prima della loro adozione.



Il GEPD è invitato a: -fornire ulteriori e tempestivi orientamenti pratici alle istituzioni, agli organi e agli organismi dell'Unione, anche in materia di trasferimenti internazionali di dati; -continuare a sensibilizzare i titolari del trattamento e i responsabili del trattamento sui loro obblighi ai sensi dell'EUDPR, nonché fornire consulenza ai responsabili della protezione dei dati;

-intensificare gli sforzi per applicare efficacemente l'EUDPR al fine di garantire la piena protezione degli interessati. Le istituzioni, gli organi e gli organismi dell'Unione sono invitati a: -proseguire e, se necessario, intensificare gli sforzi di sensibilizzazione per garantire un livello sufficiente di competenze interne sulle norme dell'EUDPR; -valutare la pubblicazione delle valutazioni d'impatto sulla protezione dei dati, escludendo, ove necessario, le informazioni che potrebbero compromettere le garanzie di sicurezza adottate; -garantire che i responsabili della protezione dei dati (nonché i coordinatori per la protezione dei dati) dispongano di risorse sufficienti e di una posizione all'interno dell'istituzione, dell'organo o dell'organismo dell'Unione che consenta loro di svolgere i propri compiti in modo efficiente e indipendente; -completare l'inserimento nei registri sulla protezione dei dati delle restanti notifiche ai sensi del precedente regolamento sulla protezione dei dati.



ALLEGATO Tabella 1 – Valutazioni d'impatto sulla protezione dei dati e consultazioni preventive da parte delle istituzioni, degli organi e degli organismi dell'Unione 2019 2020 2021 Rischio residuo accettato 30 50 77 Consultazione preventiva del GEPD 3 3 5 Progetti abbandonati 2 2 0 Tabella 2 – Attività di controllo del GEPD 2018 2019 2020 2021 Consultazioni 50 75 59 52 Consultazioni preventive 0 0 1 4 Autorizzazioni di trasferimento 0 1 0 4 Reclami ammissibili ricevuti 58 59 43 44 Decisioni su reclami ammissibili 23 48 35 22 Reclami inammissibili ricevuti 240 151 203 269 Ispezioni/revisioni effettuate 5 9 4 4 Indagini formali svolte 0 4 1 2 Notifiche di violazione dei dati ricevute 7 95 121 82



Tabella 3 – Attività di consulenza del GEPD 2018 2019 2020 2021 Commenti 13 3 19 72 Pareri 7 6 8 12 Pareri d'iniziativa 1 1 2 0 Pareri congiunti con l'EDPB 0 1 0 5 Commenti informali 33 16 13 25 Tabella 4 - Risorse del GEPD