ddrg/super_eurlex huggingface dataset:
66.

Il GEPD raccomanda altresì di: — aggiungere alla proposta sul commercio interno all’UE che i dati personali sulle transazioni sospette possono essere utilizzati esclusivamente al fine di impedire la diversione delle sostanze classificate; — stabilire nelle proposte periodi massimi di conservazione per tutte le operazioni di trattamento e precisare nelle proposte che i dati sulle transazioni sospette devono essere cancellati non appena cessino di essere necessari; — giustificare nei preamboli dei regolamenti la necessità di ogni specifico periodo di conservazione; — aggiungere alle proposte un nuovo articolo sulla modalità di fornitura delle informazioni sulle operazioni di trattamento agli interessati; — per quanto riguarda i trasferimenti internazionali di dati personali, inserire garanzie di protezione dei dati nel testo del regolamento sul commercio estero e in un testo internazionale vincolante o in accordi vincolanti con i paesi terzi destinatari; — per quanto riguarda la banca dati europea, qualora gli operatori debbano avervi accesso o qualora debba essere utilizzata per finalità aggiuntive, ciò dovrà essere specificato nella parte sostanziale delle proposte; — garantire il controllo della banca dati europea mediante un sistema di sorveglianza coordinato tra il GEPD e le autorità nazionali di protezione dei dati, analogo a quello previsto per il sistema di informazione del mercato interno; — per quanto riguarda il registro degli operatori europei e il trattamento delle sintesi delle transazioni attraverso la banca dati europea, devono essere aggiunte specifiche garanzie di protezione dei dati e di sicurezza, preferibilmente alle proposte e per lo meno per mezzo di atti delegati o atti di esecuzione; — specificare nella parte sostanziale delle proposte se la banca dati europea dovrà essere utilizzata per finalità diverse da quelle indicate all’articolo 1, paragrafo 9, della proposta sul commercio interno all’UE (ad esempio per il trattamento delle dichiarazioni in dogana).
41.

Il Garante raccomanda: — che l’articolo 85 della proposta di regolamento sui MD e l’articolo 81 della proposta di regolamento sugli IVD chiariscano il riferimento alla direttiva 95/46/CE, specificando che le disposizioni si applicheranno in conformità alle norme nazionali di attuazione della direttiva 95/46/CE, — di inserire all’articolo 85 della proposta di regolamento sui MD e all’articolo 81 della proposta di regolamento sugli IVD un riferimento esplicito all’articolo 8 della direttiva 95/46/CE e all’articolo 10 del regolamento (CE) n. 45/2001, — di introdurre nell’articolo 25 della proposta di regolamento sugli IVD paragrafi simili sulle finalità del trattamento dei dati, sui diritti degli interessati e sui periodi di conservazione dei dati, di cui all’articolo 27 della proposta di regolamento sui MD, fatte salve le modifiche suggerite nel presente parere, — di integrare una definizione del termine «soggetto» nelle proposte di regolamento, — di impedire inequivocabilmente l’inclusione di tutti i dati sanitari dei pazienti nel modulo di indagini cliniche della banca dati Eudamed, — di inserire disposizioni nelle proposte di regolamento sui MD e sugli IVD atte a definire in modo chiaro le situazioni in cui e in base a quali garanzie le informazioni contenenti dati sanitari dei pazienti saranno trattate e archiviate nella banca dati Eudamed relativa alla vigilanza e alla sorveglianza post-commercializzazione. In particolare, è necessario che la proposta di regolamento preveda l’esecuzione di una valutazione dei rischi da parte della Commissione anteriormente al trattamento e all’archiviazione di dati sanitari di pazienti nella banca dati Eudamed, — di precisare in un considerando di entrambe le proposte di regolamento che eventuali misure di attuazione da adottare ai sensi di dette proposte devono specificare in dettaglio le implicazioni per i dati personali determinate dalle caratteristiche funzionali e tecniche della banca dati Eudamed e la necessità di consultare il GEPD, — di menzionare esplicitamente che le relazioni periodiche di cui all’articolo 61 della proposta di regolamento sui MD e all’articolo 59 della proposta di regolamento sugli IVD devono avvalersi esclusivamente di dati anonimi, — di aggiungere la seguente frase all’articolo 8, paragrafo 6, di entrambe le proposte di regolamento: «Prima di qualsiasi trattamento dei dati relativi alla salute dei pazienti, i fabbricanti ottengono il consenso esplicito dei soggetti interessati conformemente all’articolo 8, paragrafo 2, lettera a), della direttiva 95/46/CE», — di aggiungere disposizioni che disciplinano la gestione dei dati personali per quanto riguarda la sorveglianza da parte delle autorità competenti nelle proposte di regolamento, — di introdurre un periodo massimo di conservazione per i dati personali ai sensi delle proposte di regolamento. Il periodo scelto dovrebbe essere quello necessario per gli scopi di raccolta e trattamento dei dati personali e in proporzione a detti scopi, — di consultare il GEPD per qualsiasi atto delegato o di esecuzione adottato a norma delle proposte di regolamento che potrebbe influire sul trattamento dei dati personali.
47.

Il GEPD raccomanda di precisare la portata della «cancellazione dei dati personali». In particolare, propone di introdurre nel testo i seguenti miglioramenti: — nel preambolo, precisare che la cancellazione dei dati personali ai sensi della proposta è relativa e non corrisponde a una completa anonimizzazione. Inoltre, conformemente alle raccomandazioni summenzionate, il preambolo dovrebbe chiarire anche la necessità di applicare misure per la cancellazione e la completa anonimizzazione in contesti diversi; — all’articolo 16: specificare che anche i dati messi a disposizione di gestori indipendenti dovrebbero essere privati di elementi identificativi o eliminati il prima possibile, a meno che la necessità di conservare i dati sia giustificata, ad esempio per adempiere ad altri obblighi giuridici gravanti sulle organizzazioni; — al fine di precisare la portata della cancellazione dei dati, il GEPD raccomanda di sostituire nell’articolo 16, paragrafi 1 e 2, i termini «dati personali» con «dettagli personali» e di aggiungere un riferimento alla possibilità di identificazione attraverso dettagli tecnici, in conformità dell’articolo 2, paragrafo 1; — l’articolo 5, paragrafo 6, consente agli Stati membri e alle organizzazioni di istituire altri sistemi di segnalazione. Andrebbe specificato che anche in queste informazioni dovrebbero essere cancellati i dati personali. Il GEPD, pertanto, raccomanda di precisare, all’articolo 16, paragrafo 2, che anche i dati personali contenuti nei sistemi di raccolta e di trattamento dei dati in materia di sicurezza di cui all’articolo 5, paragrafo 6, dovrebbero essere resi anonimi; — all’articolo 13, paragrafo 10: specificare che le informazioni dovrebbero essere rese anonime (11) prima della loro pubblicazione; — all’articolo 11, paragrafo 4: specificare che le informazioni messe a disposizione delle parti interessate elencate nell’allegato III e non relative alle apparecchiature, alle operazioni o al settore di attività, dovrebbero non solo essere aggregate o private di dati identificativi, come previsto all’articolo 11, paragrafo 4, ma rese completamente anonime.
—

si valutino la necessità e la proporzionalità del sistema proposto per la pubblicazione su Internet delle decisioni di apertura e di chiusura delle procedure d’insolvenza e si verifichi se l’obbligo di pubblicazione non vada oltre quanto è necessario per conseguire l’obiettivo di interesse pubblico perseguito e se non esistano misure meno restrittive per raggiungere il medesimo obiettivo. Subordinatamente all’esito del test della proporzionalità, l’obbligo di pubblicazione dovrebbe in ogni caso essere sostenuto da misure idonee a garantire il pieno rispetto dei diritti delle persone interessate, la sicurezza/esattezza dei dati e la loro cancellazione dopo un adeguato periodo di tempo.
(5)

Il 19 aprile 2013 la Commissione ha pubblicato nella Gazzetta ufficiale dell'Unione europea un avviso a norma dell'articolo 27, paragrafo 4, del regolamento (CE) n. 1/2003 che sintetizzava il caso e gli impegni proposti e invitava i terzi interessati a presentare le loro osservazioni sugli impegni entro un mese dalla pubblicazione (7). Non sono pervenute osservazioni di rilievo. La Commissione ha pertanto ritenuto, per quanto riguarda la prima parte di questi procedimenti nei confronti dei quattro gruppi editoriali e di Apple, che gli impegni fossero adeguati a dissipare le preoccupazioni in materia di concorrenza.
(11)

È vero che le compagnie obiettivo non godono dello stesso status procedurale delle compagnie che effettuano l'acquisizione. Come la stessa Aer Lingus riconosce, il regolamento applicabile prevede solo un ruolo limitato per le altre parti coinvolte. Pertanto non ritengo che Aer Lingus non abbia potuto effettivamente esercitare nel presente procedimento i diritti che le sono conferiti dai regolamenti applicabili e dalle migliori pratiche. Nell'unico caso in cui essa si è rivolta a me chiedendo la revisione di una decisione procedurale contraria, ho potuto decidere a suo favore (cfr. supra punto 3).
10.

Il comitato consultivo concorda con la Commissione nel ritenere che gli impegni proposti da Ryanair il 17 ottobre 2012, il 7 dicembre 2012, il 15 gennaio 2013 e il 1o febbraio 2013 non risolvono i problemi in materia di concorrenza individuati dalla Commissione e non eliminano il significativo ostacolo ad una concorrenza effettiva derivante dalla operazione notificata. Una minoranza si astiene.
(8)

Universal ha conseguentemente chiesto al consigliere-auditore, prima dell’invio della comunicazione delle obiezioni, di rivedere le norme relative alla sala dati che la DG Concorrenza aveva redatto per questo procedimento (di seguito «le norme»). Universal ha sostenuto che sarebbero stati violati i propri diritti di difesa principalmente per le tre motivazioni seguenti. In primo luogo, la portata della divulgazione delle informazioni prevista era troppo limitata, poiché non avrebbe permesso a Universal di accedere ai dati grezzi e ai relativi codici utilizzati per comporre l’insieme di dati definitivo su cui è stata condotta l’analisi del CET. Tali informazioni erano tuttavia necessarie per permettere ai propri consulenti economici esterni di verificare la solidità dell’analisi del CET e l’affidabilità dei dati. In secondo luogo Universal sosteneva che le specifiche disposizioni previste dalle norme e intese a limitare l’utilizzo dei dati avrebbero impedito ai suoi consulenti economici esterni di verificare e di controllare in modo adeguato la correttezza dell’analisi del CET e l’attendibilità dei dati. In terzo luogo, Universal ha ritenuto che rendere anonimi i dati del CET fosse un’azione non necessaria, sproporzionata e irragionevole, asserendo che rendere i dati anonimi avrebbe impedito ai consulenti economici esterni di Universal di comprendere il contesto materiale specifico in cui sono stati generati i dati.
5.

Il Comitato consultivo concorda con la valutazione della Commissione secondo cui l’operazione notificata non dovrebbe dar luogo a effetti coordinati che ostacolerebbero in modo significativo la concorrenza effettiva sul mercato all’ingrosso della musica su supporto materiale a livello nazionale e sul mercato all’ingrosso della musica in formato digitale sia a livello del SEE che a livello nazionale.
(2)

Il 28 giugno 2012, la Commissione ha pertanto avviato un procedimento ai sensi dell’articolo 6, paragrafo 1, lettera c) del regolamento sulle concentrazioni. Gli impegni volti a sciogliere le preoccupazioni sulla concorrenza identificate nella decisione ai sensi dell’articolo 6, paragrafo 1, lettera c), presentati dalla parte notificante in agosto, sono stati respinti dalla Commissione che, dopo aver condotto un’indagine di mercato, non li ha ritenuti adeguati. Successivamente, nel settembre 2012, la parte notificante ha presentato le sue osservazioni scritte sulla decisione.
8.

La maggioranza dei membri del Comitato consultivo concorda con la conclusione della Commissione secondo cui, a condizione che gli impegni finali siano rispettati integralmente, la concentrazione notificata non è suscettibile di ostacolare in modo significativo la concorrenza effettiva nel mercato interno o in una parte sostanziale di esso. Una minoranza dissente e una minoranza si astiene.
8.

Il comitato consultivo concorda con la valutazione della Commissione secondo cui, sebbene vi siano elementi per ritenere che l’operazione proposta, così come notificata, possa dar luogo a effetti non coordinati che ostacolerebbero in modo significativo la concorrenza effettiva sul mercato SEE degli XHDD, alla luce delle misure correttive che eliminano gli ostacoli significativi alla concorrenza effettiva nei mercati mondiali a monte degli HDD da 3,5″ per computer desktop, degli HDD da 3,5″ per elettronica di consumo e degli HDD da 3,5″ business critical, in nessun caso l’operazione proposta è suscettibile di ostacolare significativamente la concorrenza effettiva nel mercato a valle degli XHDD a livello del SEE.
(10)

In terzo luogo, nella sua richiesta la parte notificante sembra lasciar intendere che, per l’analisi del caso M.6203, la DG Concorrenza si sia servita di documenti presi dal fascicolo del caso M.6214, dopo averlo esaminato in maniera generale. Di conseguenza, in applicazione del principio della parità delle armi e per analogia, la parte notificante ha ritenuto di poter accedere ai documenti del caso M.6214 per cercare informazioni assolutorie. Il consigliere-auditore ha approfondito la questione con la DG Concorrenza senza trovare riscontro del fatto che quest’ultima avesse realizzato un’anali generale del fascicolo del caso M.6214 per cercare elementi probatori specifici da utilizzare a carico della parte notificante nella valutazione nel caso M.6203. Gli unici documenti che sono stati ripresentati nell’ambito del caso M.6203 risultano essere documenti strategici recenti di carattere generale presentati dalle parti nel caso M.6214 e studi di mercato realizzati da consulenti indipendenti; si tratta di documenti che la Commissione chiede abitualmente ai concorrenti nell’ambito delle indagini in casi di concentrazione. Inoltre, tali documenti non sembrano essere, per loro natura, intrinsecamente più penalizzanti o più favorevoli alla parte notificante. Alla luce di quanto precede, il consigliere-auditore non ha riscontrato alcun motivo per accettare la richiesta della parte notificante di accedere ai documenti del fascicolo inerente al caso M.6214 ed ha pertanto respinto tale richiesta.
(2)

Il 26 giugno 2012 la Commissione ha adottato una valutazione preliminare a norma dell’articolo 9, paragrafo 1, del regolamento (CE) n. 1/2003 (2), notificata a CEZ il 28 giugno 2012. La valutazione preliminare ha concluso che, in quanto impresa dominante sul mercato della produzione e della fornitura all’ingrosso di elettricità nella Repubblica ceca, CEZ possa aver perseguito una strategia mirata a impedire l’ingresso di nuovi operatori nel mercato, prenotando in via preventiva la capacità della rete ceca di trasmissione di energia elettrica. Tale comportamento ha destato riserve in ordine alla sua compatibilità con l’articolo 102 del TFUE e l’articolo 54 dell’accordo SEE.
29.

In particolare, il GEPD raccomanda di: — inserire una disposizione sostanziale volta a chiarire che l’obiettivo della proposta non è introdurre deroghe generali ai principi di protezione dei dati e che la pertinente legislazione in materia di trattamento dei dati personali [ossia le norme nazionali che danno attuazione alla direttiva 95/46/CE e al regolamento (CE) n. 45/2001] restano pienamente applicabili nel contesto della vigilanza del mercato. Inoltre, sarebbe opportuno apportare alcune modifiche redazionali al testo del considerando 30, — modificare gli articoli 19 e 21 della proposta onde garantire che nei sistemi RAPEX e ICSMS, rispettivamente, siano trattati ai fini della vigilanza del mercato solo i dati personali che sono strettamente necessari, in linea con i principi di proporzionalità e di minimizzazione dei dati, — stabilire nella proposta di regolamento (per esempio agli articoli 19 e 21) periodi determinati di conservazione dei dati personali trattati nei sistemi RAPEX e ICSMS, tenendo presente che, ai sensi della normativa UE sulla protezione dei dati, sarebbe difficile giustificare un periodo illimitato di conservazione dei dati personali (anche se potrebbe essere giustificabile nel caso di informazioni riguardanti i prodotti), — mantenere l’approccio attraverso cui si forniscono al pubblico informazioni su prodotti non sicuri (tramite il sito web del sistema RAPEX) senza divulgare i dati personali degli operatori economici responsabili di tali prodotti e adottare un approccio analogo in tutti i casi in cui le autorità di vigilanza del mercato pubblicano informazioni e dati nell’ambito della proposta, — includere, qualora fosse intenzione del legislatore prevedere la pubblicazione dei dati personali degli operatori economici (per esempio quale sanzione in caso di violazioni ripetute o come ulteriore elemento di dissuasione), disposizioni sostanziali esplicite che specifichino almeno quale tipo di dati personali può essere reso pubblico e a quale/i scopo/i. In tale contesto, si richiama l’attenzione sulla necessità di considerare modalità di pubblicazione che abbiano un’ingerenza minima nel diritto di un individuo al rispetto della propria vita privata e alla protezione dei propri dati personali, in linea con la sentenza Schecke (6) della Corte di giustizia, — integrare le disposizioni sulla partecipazione al sistema RAPEX dei paesi candidati, dei paesi terzi e delle organizzazioni internazionali (articolo 19, paragrafo 4) e quelle sullo scambio internazionale di informazioni riservate (articolo 22) con riferimenti espliciti a disposizioni specifiche sulla protezione dei dati personali in linea con quelle vigenti nell’Unione, come richiesto dall’articolo 25 della direttiva 95/46/CE e dall’articolo 9 del regolamento (CE) n. 45/2001.
58.

Egli raccomanda tuttavia i seguenti miglioramenti: — chiarire, al ventiduesimo e al ventitreesimo considerando della proposta, in quale caso sia applicabile il regolamento (CE) n. 45/2001 e in quale caso sia applicabile la direttiva 95/45/CE e cancellare o precisare i paragrafi 6-8 dell’articolo 25 della proposta, in quanto il testo attuale si limita a riprendere gli obblighi di cui alla direttiva 95/46/CE e al regolamento (CE) n. 45/2001, — aggiungere il termine «scritto» al testo del diciannovesimo considerando per allinearlo con l’articolo 24, paragrafo 2, e assicurare la coerenza del testo della proposta, — chiarire la pubblicazione dei nomi dei membri che hanno inviato contributi superiori a 1 000 EUR all’anno ai sensi dell’articolo 24, paragrafo 1, lettera f), della proposta senza il loro esplicito consenso scritto a norma dell’articolo 24, paragrafo 2, della proposta, — spiegare nei considerando, alla luce della sentenza Schecke, se siano stati considerati altri mezzi per conseguire l’obiettivo di trasparenza, e giustificare meglio la soglia scelta di 1 000 EUR all’anno per la pubblicazione dei nomi dei donatori e dei membri che hanno inviato contributi, — specificare che l’obbligo di fornire informazioni sulla pubblicazione e sul trattamento dei dati personali, ai sensi dell’articolo 24, paragrafo 3, della proposta, per i potenziali membri e donatori, vale anche per i potenziali rappresentanti (legali) dei partiti e delle fondazioni, — indicare esplicitamente all’articolo 24, paragrafo 1, lettera g), che i dati personali sono esclusi dalla pubblicazione sul sito web, o almeno chiarire i dettagli e la forma della pubblicazione delle sanzioni e se, direttamente o indirettamente, preveda anche la pubblicazione di dati personali di persone fisiche, — chiarire in un considerando quali disposizioni del regolamento (CE) n. 45/2001 siano particolarmente rilevanti nel contesto specifico, — per quanto riguarda i partiti di dimensioni più piccole, dichiarare espressamente all’articolo 24, paragrafo 1, lettera g), che si deve tenere debitamente conto dell’effetto che tale pubblicazione potrebbe avere sui membri del partito o della fondazione in questione, — giustificare in un considerando la ragione per cui sono stati scelti i rispettivi termini massimi per l’archiviazione dei dati personali raccolti di cui all’articolo 25, paragrafi 3 e 5, — aggiungere all’articolo 24 della proposta un obbligo per il Parlamento europeo di assicurare che le informazioni pubblicate sul sito web del Registro comprendenti dati personali saranno accessibili attraverso i motori di ricerca di Internet solo se necessario per le finalità della proposta, — valutare se un aggiornamento annuale dell’elenco dei membri di un partito e di una fondazione, come previsto dall’articolo 6, paragrafo 7, della proposta, sia sufficiente ad assicurare la qualità dei dati personali, — esaminare se, almeno nel caso di membri che lasciano il partito o la fondazione, una notifica immediata al Registro non gioverebbe meglio allo scopo della qualità dei dati.
123.

A tale proposito la proposta di regolamento sulla protezione dei dati, nella sua formulazione attuale, fornirà molti chiarimenti e strumenti che contribuiranno a garantire il rispetto di un livello soddisfacente di protezione dei dati da parte dei fornitori di servizi di cloud che offrono i loro servizi a clienti stabiliti in Europa, in particolare: — l’articolo 3 preciserà il campo di applicazione territoriale delle norme UE in materia di protezione dei dati e amplierà il proprio ambito di applicazione in modo da includere i servizi di cloud computing; — l’articolo 4, paragrafo 5, introdurrà un nuovo elemento di responsabilità, ossia le «condizioni», in linea con la tendenza in via di sviluppo secondo cui, alla luce della complessità informatica tecnica sottesa alla fornitura di servizi di cloud computing, è necessario ampliare i casi in cui un fornitore di servizi di cloud può essere definito responsabile del trattamento. Ciò rispecchierà meglio l’effettivo livello di influenza sulle operazioni di trattamento; — la proposta di regolamento aumenterà la responsabilità dei responsabili del trattamento e degli incaricati del trattamento dei dati, introducendo obblighi specifici quali la protezione dei dati fin dalla progettazione («by design») e la protezione di default (articolo 23), la notifica delle violazioni della sicurezza dei dati (articoli 31 e 32) nonché valutazioni d’impatto in materia di protezione dei dati (articolo 33). Inoltre, imporrà a responsabili del trattamento e incaricati del trattamento l’obbligo di realizzare meccanismi atti a dimostrare l’efficacia delle misure di protezione dei dati attuate (articolo 22); — gli articoli 42 e 43 della proposta di regolamento consentiranno un utilizzo più flessibile dei meccanismi per il trasferimento internazionale di dati, al fine di aiutare i clienti cloud e i fornitori di servizi di cloud a offrire garanzie adeguate in materia di protezione dei dati per i trasferimenti di dati personali a centri di trattamento dati o a server situati in paesi terzi; — gli articoli 30, 31 e 32 della proposta di regolamento preciseranno gli obblighi dei responsabili del trattamento e degli incaricati del trattamento riguardo alla sicurezza dei trattamenti nonché gli obblighi di informazione in caso di violazioni di dati, ponendo le basi per un approccio globale e cooperativo alla gestione della sicurezza tra i differenti attori in un ambiente di cloud; — gli articoli 55-63 della proposta di regolamento rafforzeranno la cooperazione delle autorità di controllo e il loro controllo coordinato sui trattamenti transfrontalieri, che è determinante in un ambiente come il cloud computing.