IT Gazzetta ufficiale dell'Unione europea C 216/9

Parere del Garante europeo della protezione dei datisulla proposta di regolamento del Parlamento europeo e del Consiglio sugli strumenti derivati OTC, le controparti centrali e i repertori di dati sulle negoziazioni

2011/C 216/04

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16,

vista la Carta dei diritti fondamentali dell’Unione europea, in particolare gli articoli 7 e 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1),

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (2), in particolare l’articolo 41,

HA ADOTTATO IL SEGUENTE PARERE:

1. INTRODUZIONE

1. Il 15 settembre 2010 la Commissione ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio sugli strumenti derivati OTC, le controparti centrali e i repertori di dati sulle negoziazioni (in prosieguo «la proposta») (3). Scopo precipuo della proposta è stabilire regole comuni per rendere più sicuro e più efficiente il mercato dei derivati negoziati fuori borsa (over-the-counter — OTC).

2. Il GEPD non è stato consultato dalla Commissione, nonostante ciò sia previsto dall’articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001 [in prosieguo «il regolamento (CE) n. 45/2001»]. Pertanto, agendo di propria iniziativa, il GEPD ha adottato il presente parere in conformità dell’articolo 41, paragrafo 2, del regolamento (CE) n. 45/2001.

3. Il GEPD è consapevole del fatto che il presente parere arriva in una fase relativamente avanzata del processo legislativo; nondimeno, ritiene opportuno e utile adottarlo. In primo luogo, il GEPD sottolinea le potenziali implicazioni in termini di protezione dei dati che la proposta comporta. In secondo luogo, le osservazioni presentate in questo parere hanno rilevanza diretta per l’applicazione della normativa vigente nonché per altre proposte pendenti ed eventuali proposte future che contengano disposizioni simili, come sarà illustrato nel punto 3.4 del presente parere.

2. CONTESTO ED ELEMENTI PRINCIPALI DELLA PROPOSTA

4. Sulla scia della crisi finanziaria, la Commissione ha avviato e portato avanti una revisione del quadro giuridico esistente in materia di vigilanza finanziaria, per far fronte alle significative carenze riscontrate in quest’area sia in singoli casi sia in relazione al sistema finanziario nel suo complesso. Di recente, in tale settore sono state adottate una serie di proposte legislative nell’ottica di rafforzare le disposizioni vigenti in materia di sorveglianza nonché di migliorare il coordinamento e la cooperazione a livello di Unione europea.

5. La riforma ha introdotto, in particolare, un quadro europeo rafforzato per la vigilanza finanziaria formato da un Comitato europeo per il rischio sistemico (4) e da un Sistema europeo delle autorità di vigilanza finanziaria (ESFS). Quest’ultimo è una rete che riunisce le autorità nazionali di vigilanza finanziaria che lavorano d’intesa con le tre nuove autorità europee di vigilanza: l’Autorità bancaria europea (EBA) (5), l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA) (6) e l’Autorità europea degli strumenti finanziari e dei mercati (ESMA) (7). Inoltre, la Commissione ha adottato una serie di iniziative specifiche volte a dare attuazione alla riforma normativa relativamente ad aree o prodotti finanziari specifici.

6. Una di tali iniziative è la proposta in esame, che si occupa dei «derivati negoziati fuori borsa», cioè i prodotti derivati (8) che non sono negoziati in borsa bensì privatamente tra due controparti. La proposta obbliga tutte le controparti finanziarie e le controparti non finanziarie, a partire da talune soglie, a compensare tutti i derivati OTC standardizzati mediante controparti centrali. La proposta obbliga inoltre dette controparti finanziarie e non finanziarie a notificare i dettagli di tutti i contratti di prodotti derivati e le relative modifiche a un repertorio registrato di dati sulle negoziazioni. La proposta fissa inoltre requisiti organizzativi e prudenziali armonizzati per le controparti centrali nonché requisiti organizzativi e operativi per i repertori di dati sulle negoziazioni. Mentre la responsabilità di autorizzare e vigilare sulle controparti centrali rimane presso le autorità nazionali competenti, la proposta affida i compiti di registrazione e vigilanza dei repertori di dati interamente all’ESMA.

3. ANALISI DELLE DISPOSIZIONI SULL’ACCESSO ALLA DOCUMENTAZIONE SUL TRAFFICO TELEFONICO E SUL TRAFFICO DI DATI

3.1. Osservazioni generali

7. L’articolo 61, paragrafo 2, lettera d), della proposta attribuisce all’ESMA i poteri di «richiedere la documentazione sul traffico telefonico e sul traffico di dati» (corsivo dello scrivente). Come ulteriormente precisato più avanti, il campo di applicazione della disposizione e, in particolare, il significato esatto di «documentazione sul traffico telefonico e sul traffico di dati» non sono chiari. Nondimeno appare probabile — o, quanto meno, non può essere escluso — che la documentazione sul traffico telefonico e sul traffico di dati qui richiamata comprenda i dati personali nell’accezione di cui alla direttiva 95/46/CE e al regolamento (CE) n. 45/2001 nonché, per la parte pertinente, alla direttiva 2002/58/CE (ora denominata «direttiva sulla e-privacy», così come modificata dalla direttiva 2009/136/CE), cioè i dati riguardanti il traffico telefonico e il traffico di dati di persone fisiche identificate o identificabili (9). In tale eventualità, occorre garantire il totale rispetto delle condizioni di un trattamento equo e legittimo dei dati personali, come previsto dalle direttive e dal regolamento.

8. I dati riguardanti l’uso di strumenti di comunicazione elettronici possono comprendere un’ampia gamma di informazioni personali, quali l’identità delle persone che fanno e ricevono la telefonata, la data e la durata della stessa, la rete utilizzata, la posizione geografica dell’utente in caso di dispositivi mobili ecc. Alcuni dati concernenti l’uso di Internet e della posta elettronica (ad esempio, l’elenco dei siti Internet visitati) possono rivelare altresì particolari importanti del contenuto della comunicazione. Inoltre, il trattamento dei dati sul traffico entra in conflitto con la segretezza della corrispondenza; pertanto, la direttiva 2002/58/CE ha sancito il principio secondo cui i dati sul traffico devono essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione (10). Gli Stati membri possono prevedere nella legislazione nazionale deroghe per specifiche finalità legittime, ma tali deroghe devono essere necessarie, opportune e proporzionate all’interno di una società democratica per conseguire dette finalità (11).

9. Il GEPD riconosce che le finalità perseguite dalla Commissione nel caso in esame sono legittime e comprende la necessità di adottare iniziative volte a rafforzare la vigilanza dei mercati finanziari allo scopo di preservarne la solidità e a proteggere meglio gli investitori e l’economia in generale. Tuttavia, considerata la potenziale natura intrusiva che comportano, i poteri di indagine direttamente collegati ai dati sul traffico devono soddisfare i requisiti di necessità e proporzionalità, cioè devono essere limitati a quanto è opportuno per realizzare l’obiettivo perseguito e non devono andare oltre quanto è necessario per raggiungerlo (12). In tale prospettiva, è pertanto essenziale che detti poteri siano formulati chiaramente per quanto riguarda il campo di applicazione personale e materiale nonché le circostanze e le condizioni del loro esercizio. Inoltre, dev’essere fornita idonea protezione dal rischio di abusi.

3.2. Il campo di applicazione dei poteri dell’ESMA non è chiaro

10. L’articolo 61, paragrafo 2, lettera d), stabilisce che «Ai fini dell’esercizio delle funzioni di cui agli articoli da 51 a 60 e degli articoli 62 e 63 (cioè le funzioni relative alla vigilanza sui repertori di dati sulle negoziazioni), l’ESMA ha […] (i poteri) di richiedere la documentazione sul traffico telefonico e sul traffico di dati». A causa della sua formulazione generica, la disposizione solleva diversi dubbi quanto al relativo campo di applicazione materiale e personale.

11. In primo luogo, il significato di «documentazione sul traffico telefonico e sul traffico di dati» non è del tutto chiara e va dunque precisata. Tale disposizione potrebbe riferirsi alla documentazione sul traffico telefonico e di dati che i repertori di dati sulle negoziazioni sono tenuti a conservare nel corso delle loro attività. Numerose disposizioni della proposta riguardano i requisiti di conservazione della documentazione da parte dei repertori di dati (13), però nessuna di esse specifica se i repertori di dati sulle negoziazioni debbano conservare la documentazione sul traffico telefonico e sul traffico di dati, né quale sia tale documentazione (14). Pertanto, nell’ipotesi in cui la disposizione faccia riferimento alla documentazione in possesso dei repertori di dati sulle negoziazioni, è essenziale definire precisamente quali categorie di dati sul traffico telefonico e sul traffico di dati devono essere conservate e possono essere richieste dall’ESMA. Conformemente al principio di proporzionalità, questi dati devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità di vigilanza per le quali vengono trattati (15).

12. Maggiore precisione è richiesta in particolare nel caso di specie, in considerazione delle pesanti ammende e delle penalità di mora che possono essere inflitte ai repertori di dati sulle negoziazioni e ad altri soggetti interessati (comprese persone fisiche, nel caso delle penalità di mora) a seguito di violazioni del regolamento proposto (cfr. articoli 55 e 56). L’importo delle ammende può arrivare al 20 per cento del reddito o del fatturato annuo realizzato dal repertorio di dati sulle negoziazioni nell’esercizio precedente, ossia una soglia doppia rispetto alla soglia prevista per le violazioni del diritto europeo della concorrenza.

13. Va altresì rilevato che il succitato articolo 67, paragrafo 4, delega alla Commissione i poteri di adottare standard tecnici di regolamentazione per specificare le informazioni che i repertori di dati sulle negoziazioni saranno tenuti a mettere a disposizione dell’ESMA e di altre autorità. Questa disposizione può quindi essere utilizzata per specificare meglio i requisiti di conservazione della documentazione da parte dei repertori di dati e quindi, indirettamente, anche i poteri di accesso alla documentazione sul traffico telefonico e sul traffico di dati conferiti all’ESMA. L’articolo 290 TFUE stabilisce che un atto legislativo può delegare alla Commissione il potere di adottare atti non legislativi di validità generale per integrare o modificare elementi non essenziali dell’atto legislativo. A parere del GEPD, la delimitazione esatta dei poteri di accesso ai dati sul traffico non può essere considerata un elemento non essenziale del regolamento; pertanto, la delimitazione del campo di applicazione materiale del regolamento va inserita direttamente nel testo del regolamento e non può essere rinviata ad atti delegati futuri.

14. Dubbi simili riguardano anche il campo di applicazione personale della proposta. In particolare, l’articolo 61, paragrafo, 2, lettera d), non indica i potenziali destinatari di una richiesta di consegna della documentazione sul traffico telefonico e sul traffico di dati. Più precisamente, non è chiaro se i poteri di richiedere la documentazione sul traffico telefonico e di dati sarebbero limitati ai soli repertori di dati sulle negoziazioni (16). Posto che lo scopo della disposizione è di consentire all’ESMA di vigilare sui repertori di dati sulle negoziazioni, il GEPD è del parere che tale potere debba essere rigorosamente limitato ai soli repertori di dati sulle negoziazioni.

15. Da ultimo, il GEPD assume che lo scopo dell’articolo 61, paragrafo 2, lettera d), non sia di consentire all’ESMA di avere accesso ai dati sul traffico direttamente dai fornitori di servizi di telecomunicazione. Questa appare la logica conclusione, specialmente in virtù del fatto che la proposta non contiene alcun riferimento ai dati in possesso dei fornitori di servizi di telecomunicazione né ai requisiti previsti dalla direttiva sulla e-privacy, come osservato nel precedente punto 8 (17). Tuttavia, a fini di maggiore chiarezza, il GEPD raccomanda che tale conclusione sia resa più esplicita nell’articolo 61, paragrafo 2, o quanto meno in un considerando della proposta.

3.3. La proposta non specifica le circostanze né le condizioni per poter chiedere accesso

16. L’articolo 61, paragrafo 2, lettera d), non indica in quali circostanze né a quali condizioni è possibile chiedere accesso ai dati, né prevede importanti garanzie o tutele procedurali dal rischio di abusi. Nei paragrafi seguenti il GEPD propone alcuni suggerimenti concreti in proposito. a) A norma dell’articolo 61, paragrafo 2), l’ESMA può chiedere accesso alla documentazione sul traffico telefonico e sul traffico di dati «ai fini dell’esercizio delle funzioni di cui agli articoli da 51 a 60 e degli articoli 62 e 63». Gli articoli citati costituiscono l’intero titolo della proposta che disciplina la registrazione e la vigilanza dei repertori di dati sulle negoziazioni. A parere del GEPD, é necessario definire in termini più precisi le circostanze e le condizioni per l’esercizio di tali poteri. Il GEPD raccomanda di limitare l’accesso alla documentazione sul traffico telefonico e sul traffico di dati alle violazioni gravi e specificamente individuate del regolamento proposto e nei casi in cui sussista un ragionevole sospetto (da suffragare con concrete prove iniziali) che sia stata commessa una violazione. Questa limitazione è particolarmente importante al fine di evitare che i poteri di accesso possano essere usati per operazioni di pesca o di data mining. b) La proposta non prevede che l’ESMA debba richiedere un’autorizzazione giudiziale preventiva per avere accesso alla documentazione sul traffico telefonico e sul traffico di dati. Il GEPD ritiene che l’introduzione di un simile requisito di carattere generale sia giustificata, vista la potenziale natura intrusiva dei poteri in parola. Va altresì considerato che la legislazione di alcuni Stati membri sancisce l’obbligatorietà di un’autorizzazione giudiziale preventiva per qualsiasi tipo di ingerenza nel segreto della corrispondenza, precludendo così ad altri organismi responsabili dell’applicazione della legge (cioè alle forze di polizia) e alle istituzioni amministrative una simile ingerenza in assenza di questa forma rigorosa di vigilanza (18). Come minimo, il GEPD ritiene inevitabile rendere obbligatoria la richiesta di un’autorizzazione giudiziale ogniqualvolta essa sia prescritta dalla legislazione nazionale (19). c) Il GEPD raccomanda di introdurre il requisito per cui l’ESMA possa richiedere la documentazione del traffico telefonico e del traffico di dati soltanto mediante decisione formale che indichi specificamente la base giuridica e lo scopo della richiesta, nonché le informazioni richieste, i tempi entro cui devono essere fornite e il diritto del destinatario della richiesta di ricorrere contro la decisione presso la Corte di giustizia. Qualsiasi richiesta priva di una decisione formale non dovrà avere valore vincolante nei confronti del destinatario. d) Devono essere previste idonee garanzie procedurali di tutela da possibili abusi. In proposito, la proposta potrebbe richiedere alla Commissione l’adozione di misure di attuazione che stabiliscano in dettaglio le procedure che i repertori di dati sulle negoziazioni e l’ESMA devono seguire per il trattamento dei dati. In particolare, dette misure devono individuare idonee misure di sicurezza e opportune tutele dal rischio di abusi, compresi, in via non esclusiva, gli standard professionali cui dovranno attenersi le persone competenti a trattare questi dati, nonché le procedure interne atte a garantire il rispetto delle norme sulla riservatezza e il segreto professionale. Il GEPD si attende di essere consultato durante la procedura di adozione di queste misure.

3.4. Rilevanza del presente parere per altri strumenti legali contenenti disposizioni simili

17. I poteri delle autorità di vigilanza di chiedere accesso alla documentazione sul traffico telefonico e sul traffico di dati non rappresentano una novità per la legislazione europea. Disposizioni in tal senso sono già previste in varie direttive e regolamenti vigenti in materia finanziaria. In particolare, la direttiva sugli abusi di mercato (20), la direttiva MIFID (21), la direttiva OICVM (22) e il vigente regolamento sulle agenzie di rating del credito (23) prevedono tutti disposizioni di simile tenore. Lo stesso vale per alcune proposte adottate di recente dalla Commissione, ossia la proposta di direttiva sui gestori di fondi di investimento alternativi (24), la proposta di regolamento che modifica il vigente regolamento relativo alle agenzie di rating del credito (25), la proposta di regolamento relativo alle vendite allo scoperto e ai credit default swaps (26) e la proposta di regolamento concernente l’integrità e la trasparenza del mercato dell’energia (27).

18. Per quanto attiene a questi strumenti legislativi, vigenti e proposti, occorre distinguere tra i poteri di indagine concessi alle autorità nazionali e la concessione di tali poteri alle autorità dell’Unione europea. Numerosi strumenti obbligano gli Stati membri a concedere alle autorità nazionali i poteri di richiedere la documentazione sul traffico telefonico e sul traffico di dati «in conformità della legislazione nazionale» (28). Ne consegue che l’effettivo adempimento di tale obbligo è necessariamente soggetto alla legislazione nazionale, comprese le norme di attuazione delle direttive 95/46/CE e 2002/58/CE e altre leggi nazionali che prevedono ulteriori garanzie procedurali per le autorità nazionali di vigilanza e indagine.

19. Nessuna condizione di tal genere è prevista dagli strumenti che concedono direttamente alle autorità dell’Unione europea i poteri di richiedere la documentazione sul traffico telefonico e sul traffico di dati, come nel caso della proposta sugli strumenti derivati OTC qui in esame e della succitata proposta di regolamento che modifica il regolamento (CE) n. 1060/2009 sulle agenzie di rating del credito (la «proposta CRA»). Pertanto, in questi casi è ancor più necessario chiarire nello strumento legislativo stesso il campo di applicazione personale e materiale di tali poteri nonché le circostanze e le condizioni per il loro esercizio, e garantire l’attuazione di idonee tutele da abusi.

20. A tale riguardo, le osservazioni avanzate nel presente parere, per quanto mirate alla proposta sugli strumenti derivati OTC, hanno una rilevanza più generale. Il GEPD è consapevole del fatto che, per la legislazione già adottata o prossima all’adozione, tali commenti possono essere tardivi. Nondimeno invita le istituzioni a riflettere sulla necessità di modificare le proposte pendenti al fine di tener conto dei timori espressi nel presente parere. Per quanto attiene ai testi già adottati, il GEPD invita le istituzioni a verificare le possibilità di chiarire le questioni, ad esempio laddove il campo di applicazione della disposizione considerata possa essere specificato direttamente o indirettamente in atti delegati o di esecuzione, come gli atti che definiscono in dettaglio i requisiti di conservazione dei dati, le note interpretative o altri documenti paragonabili (29). Il GEPD si attende che la Commissione lo consulti al momento opportuno nel contesto di queste procedure correlate.

4. PROFILI ATTINENTI ALLA PROTEZIONE DEI DATI RELATIVI AD ALTRE PARTI DELLA PROPOSTA

21. Il GEPD ritiene opportuno fare ulteriori osservazioni su altri punti della proposta che riguardano il diritto alla vita privata e alla protezione dei dati delle persone fisiche.

4.1. Applicabilità della direttiva 95/46/CE e del regolamento (CE) n. 45/2001

22. Il considerando 48 afferma correttamente che è essenziale che gli Stati membri e l’ESMA tutelino il diritto alla vita privata delle persone fisiche in caso di trattamento di dati personali, in conformità della direttiva 95/46/CE. Il GEPD valuta positivamente il richiamo alla direttiva contenuto nel considerando; tuttavia, il significato del considerando potrebbe essere chiarito specificando meglio che le disposizioni del regolamento non pregiudicano le leggi nazionali di attuazione della direttiva 95/46/CE. Sarebbe preferibile inserire tale riferimento anche in una disposizione sostanziale.

23. Inoltre, il GEPD rileva che l’ESMA è un organo europeo soggetto al regolamento (CE) n. 45/2001 e alla vigilanza da parte dello stesso GEPD. Si raccomanda pertanto di inserire un esplicito riferimento a tale regolamento e di precisare altresì che le disposizioni della proposta non pregiudicano il regolamento.

4.2. Limitazione delle finalità, necessità e qualità dei dati

24. Una delle finalità principali della proposta è rendere più trasparente il mercato degli strumenti derivati OTC e migliorarne la vigilanza di tale mercato. Per conseguire questo obiettivo, la proposta obbliga le controparti finanziarie e le controparti non finanziarie che soddisfano determinate soglie a comunicare a un repertorio di dati registrato le informazioni relative a ogni contratto derivato OTC da esse stipulato, nonché ogni modifica o cessazione del contratto stesso (articolo 6) (30). Tali informazioni sono conservate dai repertori di dati sulle negoziazioni, i quali le mettono a disposizione delle diverse autorità a fini di regolamentazione (articolo 67) (31).

25. Qualora una delle parti di un contratto di prodotti derivati soggetto ai summenzionati obblighi di compensazione e segnalazione sia una persona fisica, le informazioni che la riguardano costituiscono dati personali ai sensi dell’articolo 2, lettera a), della direttiva 95/46/CE. L’adempimento degli obblighi citati si configura pertanto come trattamento di dati personali ai sensi dell’articolo 2, lettera b), della direttiva 95/46/CE. Trattamenti di dati personali (ad esempio, nomi e recapiti dei direttori delle società) possono verificarsi a norma degli articoli 6 e 67 anche nel caso in cui le parti contrattuali non siano persone fisiche. Le disposizioni della direttiva 95/46/CE [o del regolamento (CE) n. 45/2001, ove pertinente] sarebbero quindi applicabili alle operazioni qui in esame.

26. Un requisito fondamentale previsto dalla normativa sulla protezione dei dati è che le informazioni possono essere trattate per finalità determinate, esplicite e legittime e non possono essere successivamente trattate in modo incompatibile con tali finalità (32). I dati utilizzati per il raggiungimento delle finalità, inoltre, devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità. Dopo aver esaminato la proposta, il GEPD conclude che il sistema da essa prefigurato non soddisfa tali requisiti.

27. Per quanto attiene alla limitazione delle finalità, va sottolineato che la proposta non specifica le finalità del sistema di segnalazione né, cosa ancor più importante, le finalità per le quali le autorità competenti di cui all’articolo 67 della proposta possono accedere alle informazioni in possesso dei repertori di dati sulle negoziazioni. Un riferimento generico alla necessità di rendere più trasparente il mercato dei prodotti derivati OTC non è evidentemente sufficiente per dare attuazione al principio di limitazione delle finalità. Tale principio è ulteriormente messo in dubbio nell’articolo 20, paragrafo 3, della proposta, laddove si tratta del «segreto professionale». Nella sua formulazione attuale, l’articolo sembra consentire l’utilizzo anche per vari altri scopi, non chiaramente precisati, delle informazioni riservate ricevute a norma della proposta (33).

28. Inoltre, la proposta non specifica il tipo di dati che saranno registrati, segnalati e a cui si potrà avere accesso, compresi i dati personali di persone identificate o identificabili. I succitati articoli 6 e 67 autorizzano la Commissione a precisare ulteriormente in atti delegati il contenuto degli obblighi di segnalazione e conservazione dei dati. Pur comprendendo le esigenze pratiche che motivano il ricorso a una simile procedura, il GEPD desidera sottolineare che, nella misura in cui le informazioni trattate ai sensi dei summenzionati articoli riguardano persone fisiche, le regole e le garanzie principali per la protezione dei dati devono essere previste nella norma fondamentale.

29. Infine, l’articolo 6 della direttiva 95/46/CE e l’articolo 4 del regolamento (CE) n. 45/2001 prescrivono che i dati personali debbano essere conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono stati rilevati. Il GEPD osserva che la proposta non fissa, in pratica, alcuna limitazione del periodo di conservazione dei dati personali potenzialmente trattati ai sensi degli articoli 6, 27 e 67 della proposta. Gli articoli 27 e 67 si limitano a stabilire che la documentazione pertinente sia conservata per almeno dieci anni, ma questo è soltanto un periodo minimo di conservazione, palesemente in contrasto con i requisiti di cui alla normativa sulla protezione dei dati.

30. Sulla base di quanto su esposto, il GEPD sollecita il legislatore a specificare quali dati personali possano essere trattati a norma della proposta, a stabilire le finalità per le quali i vari soggetti interessati possono trattare i dati personali e a fissare un periodo di tempo preciso, necessario e proporzionato per la conservazione dei dati ai fini del suddetto trattamento.

4.3. Ispezioni in loco

31. L’articolo 61, paragrafo 2, lettera c), conferisce all’ESMA i poteri di effettuare ispezioni in loco con o senza preavviso. Non è chiaro se tali ispezioni siano limitate ai locali destinati a uso commerciale di un repertorio di dati sulle negoziazioni o se possano riguardare anche proprietà o immobili privati di persone fisiche. L’articolo 56, paragrafo 1, lettera c), che attribuisce alla Commissione i poteri di infliggere, su richiesta dell’ESMA, penalità di mora ai dipendenti di un repertorio di dati sulle negoziazioni o ad altre persone ad esso legate per costringerle a sottoporsi a un’ispezione in loco disposta dall’ESMA a norma dell’articolo 61, paragrafo 2, può (involontariamente) suggerire altrimenti.

32. Senza approfondire ulteriormente questo punto, il GEPD raccomanda di limitare i poteri di effettuare ispezioni in loco (nonché i collegati poteri di infliggere penalità di mora ai sensi dell’articolo 56) soltanto ai locali destinati a uso commerciale di repertori di dati sulle negoziazioni e di altre persone giuridiche che siano sostanzialmente e chiaramente legate a detti repertori (34). Qualora la Commissione fosse effettivamente intenzionata ad autorizzare ispezioni di locali di persone fisiche non destinati a uso commerciale, tale intento va espresso chiaramente e vanno altresì previsti requisiti rigorosi per garantire il rispetto dei principi di necessità e proporzionalità (con particolare riguardo all’indicazione delle circostanze e delle condizioni per l’effettuazione di tali ispezioni).

4.4. Scambi di dati e principio di limitazione delle finalità

33. Diverse disposizioni della proposta consentono ampi scambi di dati e informazioni tra l’ESMA, le autorità competenti degli Stati membri e le autorità competenti di paesi terzi (cfr. in particolare gli articoli 21, 23 e 62). I trasferimenti di dati a paesi terzi possono avvenire anche quando una controparte centrale riconosciuta o un repertorio di dati di un paese terzo forniscono servizi a soggetti riconosciuti nell’Unione europea. Nella misura in cui le informazioni e i dati scambiati riguardano persone fisiche identificate o identificabili, trovano applicazione gli articoli 7-9 del regolamento (CE) n. 45/2001 e gli articoli 25-26 della direttiva 95/46/CE, ove pertinente. In particolare, i trasferimenti a paesi terzi sono ammessi solo qualora in quei paesi sia garantito un livello di protezione adeguato o qualora trovi applicazione una delle deroghe rilevanti previste dalla normativa sulla protezione dei dati. A fini di chiarezza, nel testo dovrebbe essere inserito un esplicito riferimento al regolamento (CE) n. 45/2001 e alla direttiva 95/46/CE, per precisare che tali trasferimenti devono essere conformi alle norme applicabili previste, rispettivamente, dal regolamento o dalla direttiva.

34. In conformità al principio di limitazione delle finalità (35), il GEPD raccomanda altresì di fissare limiti precisi alle tipologie di dati personali che si possono scambiare e di definire le finalità per le quali i dati personali possono essere scambiati.

4.5. Responsabilità e obblighi di relazionare

35. L’articolo 68 della proposta impone alla Commissione una serie di obblighi di relazionare sull’attuazione di vari elementi del regolamento proposto. Il GEPD raccomanda di prevedere anche l’obbligo a carico dell’ESMA di relazionare periodicamente sull’esercizio dei propri poteri di indagine e, in particolare, del potere di richiedere la documentazione sul traffico telefonico e sul traffico di dati. Sulla base dei risultati della relazione, la Commissione dovrebbe essere in grado di fare raccomandazioni, comprese, ove del caso, proposte di revisione del regolamento.

5. CONCLUSIONI

36. La proposta conferisce all’ESMA i poteri di «richiedere la documentazione sul traffico telefonico e sul traffico di dati» ai fini dell’esercizio delle funzioni correlate alla vigilanza dei repertori di dati sulle negoziazioni. Per poter essere considerati necessari e proporzionati, i poteri di richiedere la documentazione sul traffico telefonico e sul traffico di dati devono essere limitati a quanto è opportuno per raggiungere l’obiettivo perseguito e non devono eccedere quanto è necessario per ottenerlo. Nella sua versione attuale, la disposizione in esame non soddisfa questi requisiti perché è formulata in termini troppo ampi. In particolare, non sono sufficientemente specificati il campo di applicazione personale e materiale dei poteri né le circostanze e le condizioni per il loro esercizio.

37. Le osservazioni avanzate nel presente parere, pur essendo indirizzate alla proposta sugli strumenti derivati OTC, sono rilevanti anche per l’applicazione della normativa vigente nonché per altre proposte pendenti ed eventuali proposte future che contengano disposizioni simili. Ciò vale, in particolare, per il caso in cui i poteri in questione siano attribuiti, come nella proposta qui considerata, a un’autorità dell’Unione europea senza fare riferimento alle condizioni e procedure specifiche stabilite da norme nazionali (ad esempio, la proposta CRA).

38. Alla luce di quanto sopra, il GEPD consiglia al legislatore di: — specificare chiaramente le categorie di dati sul traffico telefonico e sul traffico di dati che i repertori di dati sulle negoziazioni sono tenuti a conservare e/o fornire alle autorità competenti. Tali dati devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono trattati, — limitare i poteri di chiedere accesso alla documentazione sul traffico telefonico e sul traffico di dati ai repertori di dati sulle negoziazioni, — indicare in maniera esplicita che è escluso l’accesso al traffico telefonico e al traffico di dati direttamente dalle imprese di telecomunicazione, — limitare l’accesso alla documentazione sul traffico telefonico e sul traffico di dati a violazioni gravi e individuate del regolamento proposto, nonché ai casi in cui sussista un ragionevole sospetto (da suffragare con concrete prove iniziali) che sia stata commessa una violazione, — chiarire che i repertori di dati sulle negoziazioni forniranno la documentazione sul traffico telefonico e sul traffico di dati soltanto in presenza di una decisione formale che preveda, tra l’altro, il diritto di ricorrere contro la decisione presso la Corte di giustizia, — richiedere che la decisione non sia eseguita in assenza di una preventiva autorizzazione giudiziale rilasciata dall’autorità giudiziaria nazionale dello Stato membro in questione (quanto meno laddove una simile autorizzazione è prescritta dalla legislazione nazionale), — chiedere alla Commissione di adottare misure di attuazione che definiscano in dettaglio le procedure da seguire, ivi incluse idonee misure di sicurezza e garanzie.

39. Per quanto attiene agli altri aspetti della proposta, il GEPD rimanda alle proprie osservazioni di cui alla sezione 4 del presente parere. In particolare, il GEPD consiglia al legislatore di: — inserire un riferimento alla direttiva 95/46/CE e al regolamento (CE) n. 45/2001 quanto meno nei considerando della proposta, preferibilmente, però, anche in una disposizione sostanziale, per precisare che le disposizioni del regolamento proposto non pregiudicano né la direttiva né il regolamento, — specificare il tipo di dati personali che possono essere trattati a norma della proposta in conformità del principio di necessità (specialmente in relazione agli articoli 6 e 67), definire le finalità per le quali i dati personali possono essere trattati dalle varie autorità/soggetti interessati nonché stabilire periodi di tempo precisi, necessari e proporzionati per la conservazione dei dati ai fini del suddetto trattamento, — limitare i poteri di effettuare ispezioni in loco in virtù dell’articolo 61, paragrafo 2, lettera c) e di infliggere penalità di mora in forza dell’articolo 56 soltanto ai repertori di dati sulle negoziazioni e ad altre persone giuridiche chiaramente e sostanzialmente legate ad essi, — prevedere in maniera esplicita che i trasferimenti internazionali di dati personali devono essere conformi alle pertinenti disposizioni del regolamento (CE) n. 45/2001 e della direttiva 95/46/CE, introdurre limitazioni chiare del tipo di dati personali che si possono scambiare e definire le finalità per le quali i dati personali possono essere scambiati.

Fatto a Bruxelles, il 19 aprile 2011. Giovanni BUTTARELLI Garante europeo aggiunto della protezione dei dati

(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 8 del 12.1.2001, pag. 1.

(3) COM(2010) 484 definitivo.

(4) Regolamento (UE) n. 1092/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, relativo alla vigilanza macroprudenziale del sistema finanziario nell’Unione europea e che istituisce il Comitato europeo per il rischio sistemico, (GU L 331 del 15.12.2010, pag. 1).

(5) Regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l’Autorità europea di vigilanza (Autorità bancaria europea), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/78/CE della Commissione, (GU L 331 del 15.12.2010, pag.12).

(6) Regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l’Autorità europea di vigilanza (Autorità europea delle assicurazioni e delle pensioni aziendali e professionali), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/79/CE della Commissione, (GU L 331 del 15.12.2010, pag. 48).

(7) Regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l’Autorità europea di vigilanza (Autorità europea degli strumenti finanziari e dei mercati), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/77/CE della Commissione, (GU L 331 del 15.12.2010, pag. 84).

(8) Un prodotto derivato è un contratto finanziario legato al valore o allo stato futuro del sottostante cui si riferisce (ad esempio, l’andamento di tassi d’interesse o del valore di una valuta).

(9) Di norma, i dipendenti ai quali si può far risalire il traffico telefonico e di dati, nonché destinatari e altri utenti interessati.

(10) Cfr. articolo 6, paragrafo 1, della direttiva 2002/58/CE, (GU L 201 del 31.7.2002, pag. 45).

(11) Cfr. articolo 15, paragrafo 1, della direttiva 2002/58/CE, nel quale si stabilisce che tali restrizioni devono costituire una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica, come citato nell’articolo 13, paragrafo 1, della direttiva 95/46/CE. A tal fine gli Stati membri possono tra l’altro adottare misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo.

(12) Cfr., ad esempio, cause riunite C-92/09 e C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) contro Land Hessen, non ancora pubblicata nella Raccolta, punto 74.

(13) Ad esempio, nel considerando 44 si afferma che i repertori di dati sulle negoziazioni saranno sottoposti a requisiti rigorosi in materia di registrazione e di gestione dei dati. L’articolo 66 specifica che i repertori di dati sulle negoziazioni «registrano immediatamente le informazioni ricevute ai sensi dell’articolo 6 e le conservano per almeno dieci anni a decorrere dalla cessazione dei contratti interessati. Essi utilizzano procedure di conservazione dei dati rapide ed efficaci per documentare le modifiche apportate alle informazioni registrate [sic]». Inoltre, l’articolo 67 prevede che «i repertori di dati sulle negoziazioni mettono le informazioni necessarie a disposizione» dell’ESMA e di varie altre autorità competenti.

(14) L’espressione «documentazione del traffico telefonico e del traffico di dati» può potenzialmente comprendere una grande varietà di informazioni, inclusi la durata, il momento e il volume di una comunicazione, il protocollo usato, l’ubicazione dell’apparecchiatura terminale del mittente/chiamante e del ricevente, la rete sulla quale la comunicazione ha origine o termina, l’inizio, la fine e la durata di una connessione e persino l’elenco dei siti Internet visitati e il contenuto delle comunicazioni tra essi, in caso di registrazione. Nella misura in cui si riferiscono a persone fisiche identificate o identificabili, queste informazioni costituiscono dati personali.

(15) Cfr. articolo 6, paragrafo 1, lettera c), della direttiva 95/46/CE e articolo 4, paragrafo 1, lettera c), del regolamento (CE) n. 45/2001. Va poi considerata la possibilità di adottare specifiche misure di tutela per evitare la lettura e il trattamento di dati destinati esclusivamente ad uso privato.

(16) L’articolo 56, paragrafo 1, lettera c), che autorizza la Commissione a infliggere, su richiesta dell’ESMA, penalità di mora ad ogni persona dipendente di un repertorio di dati sulle negoziazioni per costringerla a sottoporsi a un’indagine avviata dall’ESMA ai sensi dell’articolo 61, paragrafo 2, potrebbe (involontariamente) far concludere in senso diverso.

(17) Come rilevato, la direttiva sulla e-privacy afferma il principio generale secondo cui i dati sul traffico devono essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione. Questi dati possono essere trattati ulteriormente al solo scopo di fatturare e interconnettere pagamenti, ma soltanto fino alla fine del periodo nel quale la fattura può essere legalmente contestata o il pagamento può essere perseguito. Qualsiasi deroga a tale principio deve essere necessaria, opportuna e proporzionata all’interno di una società democratica per il perseguimento di specifiche finalità di ordine pubblico, cioè per la salvaguardia della sicurezza nazionale (ossia la sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica.

(18) La costituzione italiana, per esempio, stabilisce che qualsiasi ingerenza nel segreto della corrispondenza, compreso l’accesso a dati sul traffico senza che sia rivelato il contenuto delle comunicazioni, debba essere disposta o autorizzata da un magistrato.

(19) Un requisito di tal genere è stato introdotto nella versione modificata della proposta sulle agenzie di rating del credito votata dal Parlamento europeo nel dicembre 2010.

(20) Direttiva 2003/6/CE del Parlamento europeo e del Consiglio, del 28 gennaio 2003, relativa all’abuso di informazioni privilegiate e alla manipolazione del mercato (abusi di mercato), (GU L 96 del 12.4.2003, pag. 16).

(21) Direttiva 2004/39/CE del Parlamento europeo e del Consiglio, del 21 aprile 2004, relativa ai mercati degli strumenti finanziari, che modifica le direttive 85/611/CEE e 93/6/CEE del Consiglio e la direttiva 2000/12/CE del Parlamento europeo e del Consiglio e che abroga la direttiva 93/22/CEE del Consiglio, (GU L 145 del 30.4.2004, pag. 1).

(22) Direttiva 2009/65/CE del Parlamento europeo e del Consiglio, del 13 luglio 2009, concernente il coordinamento delle disposizioni legislative, regolamentari e amministrative in materia di taluni organismi d’investimento collettivo in valori mobiliari (OICVM), (GU L 302 del 17.11.2009, pag. 32).

(23) Regolamento (CE) n. 1060/2009 del Parlamento europeo e del Consiglio, del 16 settembre 2009, relativo alle agenzie di rating del credito, (GU L 302 del 17.11.2009, pag. 1).

(24) Proposta di direttiva del Parlamento europeo e del Consiglio, del 30 aprile 2009, sui gestori di fondi di investimento alternativi, che modifica le direttive 2004/39/CE e 2009/…/EC, COM(2009) 207.

(25) Proposta di regolamento del Parlamento europeo e del Consiglio, del 2 giugno 2010, recante modifica del regolamento (CE) n. 1060/2009 relativo alle agenzie di rating del credito, COM(2010) 289.

(26) Proposta di regolamento del Parlamento europeo e del Consiglio, del 15 settembre 2010, relativo alle vendite allo scoperto e ai credit default swap, COM(2010) 482.

(27) Proposta di regolamento del Parlamento europeo e del Consiglio concernente l’integrità e la trasparenza del mercato dell’energia, COM(2010) 726.

(28) Cfr., ad esempio, l’articolo 12, paragrafo 2, della direttiva sugli abusi di mercato citata nella nota 20. Cfr. anche l’articolo 50 della direttiva MIFID, citata nella nota 21.

(29) Ad esempio, l’articolo 37 della proposta CRA autorizza la Commissione a modificare gli allegati al regolamento che stabiliscono in dettaglio i requisiti di conservazione della documentazione imposti alle agenzie di rating del credito; cfr. anche il considerando 10 della proposta CRA, relativo ai poteri dell’ESMA di emettere e aggiornare linee guida non vincolanti su questioni concernenti l’applicazione del regolamento CRA.

(30) L’articolo 6, paragrafo 4, della proposta delega alla Commissione i poteri di stabilire i dettagli e il tipo di comunicazione per le diverse classi di strumenti derivati, specificando che tali comunicazioni devono contenere almeno: a) le parti del contratto e, se diverso, il titolare dei diritti e delle obbligazioni derivanti dal contratto, i quali devono essere opportunamente individuati; b) le principali caratteristiche del contratto, compresi il tipo di contratto, il sottostante, la scadenza e il valore nozionale, che devono essere indicati.

(31) Cfr. motivazioni, pag. 11. L’articolo 67 concretizza tutto ciò stabilendo che un repertorio di dati sulle negoziazioni metterà le informazioni necessarie a disposizione di una serie di soggetti, cioè l’ESMA, le autorità competenti per la vigilanza delle imprese soggette all’obbligo di segnalazione, le autorità competenti per la vigilanza delle controparti centrali e le banche centrali interessate del SEBC.

(32) Cfr., ad esempio, il parere del GEPD del 6 gennaio 2010 sulla proposta di direttiva del Consiglio relativa alla cooperazione amministrativa nel settore fiscale, (GU C 101 del 20.4.2010, pag. 1).

(33) L’articolo 20, paragrafo 3, così recita: «Fatti salvi i casi contemplati dal diritto penale, le autorità competenti, l'ESMA, gli organismi o le persone fisiche o giuridiche diversi dalle autorità competenti che ricevono informazioni riservate a norma del presente regolamento possono servirsene soltanto nell'espletamento dei loro compiti e per l'esercizio delle loro funzioni, per quanto riguarda le autorità competenti nell'ambito di applicazione del presente regolamento o, per quanto riguarda le altre autorità, organismi o persone fisiche o giuridiche, per le finalità per cui le informazioni sono state loro fornite o nel contesto dei procedimenti amministrativi o giudiziari specificamente connessi con l'esercizio di tali funzioni. Tuttavia, qualora l'ESMA, l'autorità competente o un'altra autorità, organismo o persona che comunica le informazioni vi acconsenta, l'autorità che riceve le informazioni può utilizzarle per altri scopi».

(34) Una precisazione di questo tenore è stata inserita nella versione modificata della proposta CRA votata dal Parlamento europeo nel dicembre 2010.

(35) Cfr. articolo 6, paragrafo 1, lettera b), della direttiva 95/46/CE e articolo 4, paragrafo 1, lettera b), del regolamento (CE) n. 45/2001.