CELEX: 32019D1031(02)
Language: it
Date: 2019-10-01 00:00:00
Title: Decisione dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza del 1o ottobre 2019 recante modalità di attuazione in materia di protezione dei dati personali da parte del servizio europeo per l’azione esterna e di applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio2019/C 370/05

31.10.2019   
               
               
                  IT
               
               
                  Gazzetta ufficiale dell’Unione europea
               
               
                  C 370/9
               
            
         Decisione dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza
         del 1o ottobre 2019
         recante modalità di attuazione in materia di protezione dei dati personali da parte del servizio europeo per l’azione esterna e di applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio
         (2019/C 370/05)
         L’ALTO RAPPRESENTANTE DELL’UNIONE PER GLI AFFARI ESTERI E LA POLITICA DI SICUREZZA,
         vista la decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l’organizzazione e il funzionamento del servizio europeo per l’azione esterna (2010/427/UE) (1) («la decisione istitutiva del SEAE»), in particolare l’articolo 11, paragrafo 3,
         visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (2) («il regolamento»), in particolare gli articoli 43, 44 e 45,
         considerando quanto segue:
         
                     (1)
                  
                  
                     La maggiore responsabilità per i titolari del trattamento dei dati istituita nel regolamento richiede l’adozione di una nuova decisione di esecuzione che sostituisca la decisione PROC HR(2011) 016 dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza, dell’8 dicembre 2011, sulle norme in materia di protezione dei dati nel SEAE.
                  
               
                     (2)
                  
                  
                     Il ruolo del responsabile della protezione dei dati e le responsabilità del titolare del trattamento dei dati nell’ambito del servizio europeo per l’azione esterna devono essere chiaramente definiti e adattati ai requisiti del regolamento,
                  
               DECIDE:
         SEZIONE 1
         
            DISPOSIZIONI GENERALI
         
         
            Articolo 1
            Oggetto e ambito di applicazione
            
               1.   Conformemente all’articolo 45, paragrafo 3, del regolamento, la presente decisione stabilisce le funzioni, gli obblighi e le competenze del responsabile della protezione dei dati (in appresso «RPD») nell’ambito del SEAE.
            
            
               2.   La presente decisione specifica inoltre le procedure interne e le responsabilità dei titolari e dei responsabili del trattamento dei dati, nonché il ruolo, i compiti e le funzioni dei coordinatori e dei corrispondenti per la protezione dei dati, in particolare a norma degli articoli 26 e 29 del regolamento.
            
         
         
            Articolo 2
            Definizioni
            Ai fini della presente decisione, e fatte salve le definizioni contenute nel regolamento, s’intende per:
            
                        a)
                     
                     
                        «titolare del trattamento dei dati»: il SEAE o le sue entità organizzative, comprese le delegazioni dell’UE che, da sole o congiuntamente con altri, determinano le finalità e i mezzi del trattamento dei dati personali;
                     
                  
                        b)
                     
                     
                        «rappresentante del titolare del trattamento dei dati»: membri della direzione del SEAE o capo di una delle entità organizzative incaricati della supervisione degli organi titolari del trattamento dei dati di cui alla lettera a) e responsabili del trattamento dei dati personali;
                     
                  
                        c)
                     
                     
                        «titolare del trattamento delegato»: servizio o membro del personale all’interno dell’entità organizzativa titolare del trattamento dei dati incaricato della gestione dell’attività di trattamento dei dati personali;
                     
                  
                        d)
                     
                     
                        «contitolari del trattamento»: due o più entità organizzative che, insieme, determinano le finalità e i mezzi del trattamento dei dati personali e i ruoli e le responsabilità dei titolari del trattamento, compresi i loro compiti in relazione all’esercizio dei diritti degli interessati, in particolare quando il SEAE condivide la titolarità del trattamento con altre istituzioni, organi, agenzie o uffici dell’UE o con qualsiasi altra entità;
                     
                  
                        e)
                     
                     
                        «responsabile della protezione dei dati» (RPD): membro del personale del SEAE designato dal SEAE, a norma dell’articolo 43 del regolamento, per sostenere, informare e consigliare i titolari del trattamento;
                     
                  
                        f)
                     
                     
                        «coordinatore e corrispondente per la protezione dei dati»: membri del personale del SEAE, situati rispettivamente nella sede centrale e nelle delegazioni dell’UE, designati per assistere i loro titolari del trattamento nelle questioni relative alla protezione dei dati;
                     
                  
                        g)
                     
                     
                        «responsabile del trattamento»: un’entità, interna o esterna al SEAE, che tratta i dati personali per conto del titolare del trattamento;
                     
                  
                        h)
                     
                     
                        «comunicazioni sulla protezione dei dati»: avvisi, ad esempio le informative sulla privacy, mediante i quali il titolare del trattamento comunica informazioni agli interessati ai sensi degli articoli 15 e 16 del regolamento;
                     
                  
                        i)
                     
                     
                        «personale del SEAE»: ai sensi dell’articolo 6 della decisione istitutiva del SEAE, i funzionari e gli altri agenti dell’UE in servizio presso il SEAE, compreso il personale dei servizi diplomatici degli Stati membri dell’UE, gli esperti nazionali distaccati e i tirocinanti.
                     
                  
         SEZIONE 2
         
            RESPONSABILE DELLA PROTEZIONE DEI DATI
         
         
            Articolo 3
            Designazione del responsabile della protezione dei dati
            
               1.   Il segretario generale del SEAE designa l’RPD tra il personale del SEAE, ai sensi dell’articolo 43 del regolamento, e lo/la registra presso il garante europeo della protezione dei dati (in appresso «GEPD»).
            
            
               2.   In aggiunta ai requisiti di cui all’articolo 43, paragrafo 3, del regolamento, il responsabile della protezione dei dati ha una conoscenza approfondita dei servizi del SEAE, della loro struttura, dei sistemi informatici e delle norme e procedure amministrative. Deve avere esperienza in materia di protezione dei dati, dimostrare una solida capacità di giudizio ed essere in grado di agire in maniera obiettiva e imparziale, come previsto nello statuto dei funzionari.
            
            
               3.   L’RPD è designato per un mandato di cinque anni e il suo mandato è rinnovabile.
            
            
               4.   L’RPD può essere destituito dalle sue funzioni solo con il consenso del GEPD, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni.
            
            
               5.   Sotto il profilo amministrativo, l’RPD fa capo al segretario generale.
            
            
               6.   I recapiti dell’RPD sono pubblicati sull’intranet e sul sito web pubblico del SEAE e sono comunicati al GEPD.
            
         
         
            Articolo 4
            Posizione del responsabile della protezione dei dati
            
               1.   L’RPD agisce in modo indipendente e in cooperazione con il GEPD. Il SEAE non impartisce istruzioni all’RPD circa l’esercizio delle sue funzioni.
            
            
               2.   L’RPD non può essere destituito o penalizzato per il fatto di assolvere i suoi compiti.
            
            
               3.   L’RPD è informato di tutti i contatti con le parti esterne in merito all’applicazione del regolamento e della presente decisione, in particolare di qualsiasi interazione con il GEPD e i membri della rete dei responsabili della protezione dei dati nelle istituzioni, negli organi, negli uffici e nelle agenzie dell’UE.
            
            
               4.   Gli interessati possono contattare l’RPD per qualsiasi questione relativa al trattamento dei loro dati personali o all’esercizio dei loro diritti ai sensi del regolamento.
            
            
               5.   L’RPD può essere consultato dal titolare del trattamento o dal suo rappresentante, dal comitato del personale e da qualsiasi membro del personale su qualsiasi questione attinente all’interpretazione o all’applicazione del regolamento, senza bisogno da parte loro di procedere attraverso canali ufficiali. Nessuno deve subire pregiudizio per aver sottoposto una questione al responsabile della protezione dei dati.
            
         
         
            Articolo 5
            Compiti del responsabile della protezione dei dati
            L’RPD:
            
                        a)
                     
                     
                        è consultato su tutte le questioni relative alla protezione dei dati personali;
                     
                  
                        b)
                     
                     
                        fornisce orientamenti e consulenza proattiva alle entità del SEAE e ai loro contraenti che svolgono attività di trattamento dei dati personali circa le modalità di attuazione del regolamento e della presente decisione: ciò comprende le consultazioni in merito alle notifiche di una violazione di dati, le valutazioni d’impatto e la necessità di una consultazione preventiva con il GEPD;
                     
                  
                        c)
                     
                     
                        mantiene contatti regolari con i titolari del trattamento dei dati per monitorare l’osservanza delle norme in materia di protezione dei dati e aiutarli nello svolgimento dei loro compiti, in particolare per contribuire alla preparazione e alla pubblicazione di comunicazioni sulla protezione dei dati e per rispondere alle richieste degli interessati;
                     
                  
                        d)
                     
                     
                        mantiene contatti regolari con i coordinatori e corrispondenti per la protezione dei dati della sede centrale e delle delegazioni del SEAE, e gestisce la rete dei coordinatori e dei corrispondenti all’interno del SEAE;
                     
                  
                        e)
                     
                     
                        contribuisce alla sensibilizzazione generale in materia di protezione dei dati, organizza formazioni e sessioni informative;
                     
                  
                        f)
                     
                     
                        coopera con gli RPD di altre istituzioni, organi, uffici e agenzie dell’UE, in particolare scambiando esperienze e migliori prassi;
                     
                  
                        g)
                     
                     
                        tiene un registro centrale delle attività di trattamento svolte dal SEAE sulla base dei documenti elaborati dai titolari del trattamento ai sensi dell’articolo 31 del regolamento, e lo rende accessibile al pubblico;
                     
                  
                        h)
                     
                     
                        contribuisce a garantire la rappresentanza dell’alto rappresentante o del SEAE a livello internazionale su tutte le questioni relative alla protezione dei dati.
                     
                  
         
            Articolo 6
            Competenze
            Nell’esercizio delle sue funzioni, il responsabile della protezione dei dati:
            
                        a)
                     
                     
                        ha accesso in qualsiasi momento ai dati trattati dalle entità del SEAE e dai loro contraenti e a tutti gli uffici, centri di elaborazione dati e supporti per i dati;
                     
                  
                        b)
                     
                     
                        fornisce il proprio parere all’autorità che ha il potere di nomina prima di qualsiasi decisione su questioni attinenti all’applicazione delle disposizioni in materia di protezione dei dati;
                     
                  
                        c)
                     
                     
                        può proporre misure amministrative e formulare raccomandazioni generali sulla corretta applicazione del regolamento e della presente decisione;
                     
                  
                        d)
                     
                     
                        può formulare raccomandazioni per il miglioramento pratico della protezione dei dati da parte della direzione e del personale del SEAE e di qualsiasi soggetto esterno rilevante;
                     
                  
                        e)
                     
                     
                        può indagare su questioni relative alla protezione dei dati e, oltre che alla persona che ha richiesto l’indagine o ha presentato il reclamo, può riferire i risultati dell’indagine al titolare del trattamento e a qualsiasi membro pertinente della direzione del SEAE;
                     
                  
                        f)
                     
                     
                        può elaborare modelli e procedure interne, istruzioni o strategie per fornire orientamenti ai titolari e ai responsabili del trattamento;
                     
                  
                        g)
                     
                     
                        può avvalersi dei servizi di esperti esterni, compresi esperti informatici;
                     
                  
                        h)
                     
                     
                        può portare all’attenzione dell’autorità che ha il potere di nomina del SEAE qualsiasi omissione da parte di un membro del personale nell’adempimento degli obblighi previsti dal regolamento e dalla presente decisione e può suggerire l’avvio di un’indagine amministrativa;
                     
                  
                        i)
                     
                     
                        può elaborare orientamenti interni sulla protezione dei dati (note di orientamento RPD) di cui si debba tener conto nel trattare dati personali.
                     
                  
         
            Articolo 7
            Risorse
            
               1.   L’RPD dispone del personale e delle risorse necessari a svolgere le funzioni di cui all’articolo 5 della presente decisione.
            
            
               2.   Tutto il personale del SEAE sostiene l’RPD nello svolgimento delle funzioni di cui all’articolo 5 della presente decisione; in particolare, i titolari e i responsabili del trattamento forniscono le informazioni richieste in merito alle attività di trattamento dei dati, accedono ai dati personali e preparano progetti di risposta alle richieste degli interessati che esercitano il diritto di accesso, modifica o cancellazione ricevute dall’RPD ma correlate alle attività che rientrano tra le responsabilità del titolare del trattamento.
            
            
               3.   L’RPD può disporre, se del caso, di un responsabile aggiunto o di un assistente, nonché di personale amministrativo e di segreteria. L’RPD può inoltre avvalersi della collaborazione di altre entità, del SEAE o contraenti, oppure di esperti esterni.
            
            
               4.   Se designati, l’RPD aggiunto o l’assistente RPD assistono il responsabile della protezione dei dati nello svolgimento dei suoi compiti e possono rappresentarlo in caso di assenza di quest’ultimo. Gli articoli 4, 5 e 6 della presente decisione si applicano anche all’RPD aggiunto o all’assistente RPD.
            
            
               5.   L’RPD dispone di locali adeguati nei quali possano essere garantite la sicurezza e la riservatezza delle informazioni, compresi i dati personali, e l’adeguata conservazione e archiviazione di dati e documenti.
            
            
               6.   L’RPD dispone di uno strumento elettronico che consenta di i) gestire le registrazioni delle attività di trattamento dei dati personali in conformità dell’articolo 31 del regolamento e ii) archiviare le comunicazioni sulla protezione dei dati, le notifiche di una violazione di dati, le valutazioni d’impatto sulla protezione dei dati, le richieste degli interessati e i registri relativi ai trasferimenti di dati.
            
            
               7.   Il SEAE aiuta l’RPD a mantenere e ampliare le sue conoscenze specialistiche, tra l’altro agevolando la sua partecipazione a corsi di formazione, conferenze o eventi interistituzionali o esterni connessi alla protezione dei dati e a riunioni e formazioni organizzate dal GEPD e dalla rete dei responsabili della protezione dei dati delle istituzioni, organi, uffici e agenzie dell’UE.
            
         
         SEZIONE 3
         
            ATTORI COINVOLTI NELLE PROCEDURE RELATIVE ALLA PROTEZIONE DEI DATI
         
         
            Articolo 8
            Titolari del trattamento e responsabili del trattamento
            
               1.   I titolari del trattamento delegati e i rappresentanti dei titolari e dei responsabili del trattamento sono incaricati di garantire, per conto del titolare del trattamento dei dati, che tutte le attività di trattamento che ricadono sotto il loro controllo siano conformi al regolamento, in particolare all’articolo 26, e alle disposizioni della presente decisione. Se necessario, possono affidare compiti di trattamento al personale del SEAE che opera sotto la loro responsabilità oppure a contraenti, conformemente all’articolo 29 del regolamento.
            
            
               2.   In particolare, i titolari del trattamento:
               
                           a)
                        
                        
                           garantiscono e dimostrano che il trattamento è effettuato in conformità del regolamento e della presente decisione e ne sono responsabili;
                        
                     
                           b)
                        
                        
                           registrano tutte le attività di trattamento e le modifiche sostanziali di un’attività di trattamento esistente;
                        
                     
                           c)
                        
                        
                           garantiscono che gli interessati siano informati del trattamento dei loro dati conformemente agli articoli 15 e 16 del regolamento, rendendo disponibili le comunicazioni sulla protezione dei dati;
                        
                     
                           d)
                        
                        
                           collaborano con l’RPD e con il GEPD, in particolare fornendo informazioni in risposta alle loro richieste entro 14 giorni di calendario dalla data della richiesta;
                        
                     
                           e)
                        
                        
                           informano l’RPD quando si ricorre a un contraente per trattare dati personali per conto del titolare del trattamento;
                        
                     
                           f)
                        
                        
                           nominano un coordinatore/corrispondente che li aiuti a svolgere le loro funzioni e informano l’RPD di qualsiasi cambiamento relativo alla persona che riveste il ruolo di coordinatore/corrispondente o alle sue funzioni;
                        
                     
                           g)
                        
                        
                           consultano l’RPD per accertarsi che le attività di trattamento siano conformi al regolamento e alla presente decisione. Possono consultare l’RPD o altri esperti su questioni relative alla riservatezza, alla disponibilità e all’integrità delle attività di trattamento e sulle misure di sicurezza adottate a norma dell’articolo 33 del regolamento.
                        
                     
            
               3.   I titolari del trattamento possono avvalersi di altre entità del SEAE o contraenti in qualità di responsabili del trattamento in conformità delle disposizioni del regolamento, a condizione che tali entità specifichino nei loro archivi il nome del responsabile del trattamento, i suoi compiti e le misure di sicurezza adottate.
            
            
               4.   Il titolare del trattamento garantisce che l’RPD sia informato tempestivamente:
               
                           a)
                        
                        
                           di tutte le questioni che hanno o potrebbero avere ripercussioni in termini di protezione dei dati;
                        
                     
                           b)
                        
                        
                           di tutte le comunicazioni e le decisioni della direzione del SEAE relative all’applicazione del regolamento, in particolare di qualsiasi interazione con il GEPD.
                        
                     
         
         
            Articolo 9
            Coordinatore e corrispondente per la protezione dei dati
            
               1.   A seconda delle loro dimensioni e del tipo di dati personali trattati, le entità organizzative del SEAE dispongono di un coordinatore/corrispondente che funge da punto di riferimento per la protezione dei dati. Ciascuna direzione o direzione operativa presso la sede centrale del SEAE e ciascuna delegazione dell’UE designano un coordinatore o un corrispondente per la protezione dei dati. Anche le divisioni che trattano regolarmente una grande quantità di dati personali, categorie di dati particolari o dati personali sensibili la cui elaborazione presenta un rischio elevato designano un coordinatore/corrispondente. La funzione del coordinatore/corrispondente è assegnata a una posizione che abbia un quadro generale delle attività dell’entità.
            
            
               2.   Il coordinatore/corrispondente per la protezione dei dati deve possedere le competenze necessarie e acquisire conoscenze in materia di protezione dei dati. Deve ricevere una formazione introduttiva in materia di protezione dei dati e può partecipare a sessioni informative e alle riunioni della rete dei coordinatori e dei corrispondenti.
            
            
               3.   Il coordinatore/corrispondente per la protezione dei dati:
               
                           a)
                        
                        
                           fatte salve le responsabilità dell’RPD, assiste i titolari del trattamento dei dati nell’adempimento dei loro obblighi;
                        
                     
                           b)
                        
                        
                           facilita la comunicazione tra l’RPD e i titolari del trattamento dei dati;
                        
                     
                           c)
                        
                        
                           funge da punto di riferimento nel proprio servizio per le questioni relative alla protezione dei dati e tiene i contatti con l’RPD;
                        
                     
                           d)
                        
                        
                           informa e sostiene i colleghi sulle questioni relative al trattamento dei dati personali;
                        
                     
                           e)
                        
                        
                           trasmette al personale informazioni su eventi di sensibilizzazione e sessioni di formazione;
                        
                     
                           f)
                        
                        
                           in collaborazione con l’RPD, crea e aggiorna un inventario un inventario delle attività di trattamento dei dati personali preesistenti e nuove;
                        
                     
                           g)
                        
                        
                           notifica all’RPD tutti i dati personali trattati all’interno del servizio;
                        
                     
                           h)
                        
                        
                           aiuta a individuare i titolari e i responsabili del trattamento delegati;
                        
                     
                           i)
                        
                        
                           elabora registri nel proprio settore di competenza;
                        
                     
                           j)
                        
                        
                           assiste i titolari del trattamento nell’elaborazione e nella revisione dei registri e nella creazione di comunicazioni sulla protezione dei dati;
                        
                     
                           k)
                        
                        
                           contribuisce alle verifiche di conformità e alle valutazioni d’impatto;
                        
                     
                           l)
                        
                        
                           garantisce che le comunicazioni sulla protezione dei dati siano pubblicate e utilizzate correttamente dal servizio di sua competenza;
                        
                     
                           m)
                        
                        
                           comunica all’RPD eventuali violazioni dei dati;
                        
                     
                           n)
                        
                        
                           in collaborazione con l’RPD, elabora le risposte alle richieste degli interessati che esercitano i loro diritti e gestisce i reclami e le domande riguardanti le attività di trattamento dei dati nel servizio di sua competenza.
                        
                     
            
               4.   Il coordinatore/corrispondente per la protezione dei dati ha il diritto di ottenere le informazioni di cui ha bisogno per identificare le attività di trattamento dei dati personali e di consultare l’RPD per conto del proprio servizio. Ciò non include il diritto di accesso ai dati personali elaborati sotto la responsabilità del titolare del trattamento.
            
         
         
            Articolo 10
            Autorità che ha il potere di nomina
            L’autorità che ha il potere di nomina consulta l’RPD in merito a richieste o reclami presentati ai sensi dell’articolo 90 dello statuto in relazione all’applicazione del regolamento.
         
         
            Articolo 11
            Personale del SEAE
            
               1.   Tutto il personale del SEAE applica le disposizioni in materia di riservatezza e le norme relative al trattamento dei dati personali di cui agli articoli 33, 34 e 35 del regolamento. Nessun membro del personale del SEAE che abbia accesso ai dati personali tratta i dati a meno che non sia istruito in tal senso dal titolare del trattamento.
            
            
               2.   Tutti i membri del personale del SEAE indicano al proprio superiore gerarchico quando devono trattare dati personali, al fine di consentire ai titolari del trattamento di documentare il trattamento nei loro registri sulla protezione dei dati e di predisporre le necessarie comunicazioni sulla protezione dei dati.
            
            
               3.   Qualsiasi membro del personale del SEAE può sottoporre una richiesta o manifestare una preoccupazione all’RPD, anche in merito a una presunta violazione dei dati, oppure presentare un reclamo al GEPD in caso di presunta violazione del regolamento o della presente decisione, senza necessità di informare i suoi superiori gerarchici.
            
            
               4.   Se un membro del personale ritiene che un paese terzo, un territorio o uno o più settori specifici in un paese terzo o un’organizzazione internazionale non garantiscano un livello di protezione adeguato ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (3) o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (4), ne dà notifica al responsabile della protezione dei dati.
            
         
         SEZIONE 4
         
            MISURE E PROCEDURE
         
         
            Articolo 12
            Misure di sicurezza e protezione dei dati fin dalla progettazione e per impostazione predefinita
            
               1.   Le misure di garanzia, tecniche e organizzative per evitare le violazioni, la perdita o la divulgazione non autorizzata dei dati comprendono:
               
                           a)
                        
                        
                           una definizione adeguata dei ruoli, delle responsabilità e delle fasi procedurali;
                        
                     
                           b)
                        
                        
                           un ambiente elettronico sicuro che impedisca l’accesso o il trasferimento illegale o accidentale di dati elettronici a persone non autorizzate, dotato di misure di sicurezza integrate nelle varie applicazioni informatiche utilizzate;
                        
                     
                           c)
                        
                        
                           trattamento e conservazione sicuri dei documenti cartacei;
                        
                     
                           d)
                        
                        
                           accesso elettronico e fisico solo per il personale autorizzato, con attribuzione individuale dei diritti di accesso.
                        
                     
            
               2.   Prima di progettare le attività di trattamento dei dati, i titolari del trattamento adottano un approccio di protezione dei dati fin dalla progettazione e per impostazione predefinita, come previsto all’articolo 27 del regolamento. Al fine di attuare la protezione dei dati fin dalla progettazione e per impostazione predefinita, il titolare del trattamento può consultare l’RPD e altri servizi pertinenti, tra cui il servizio informatico e quello di sicurezza informatica.
            
         
         
            Articolo 13
            Notifiche di una violazione di dati
            Dopo aver preso conoscenza di un incidente, in particolare di una violazione della sicurezza, che comporti, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali trasferiti, memorizzati o comunque trattati («violazione di dati personali»), il titolare o il responsabile del trattamento notificano l’incidente immediatamente all’RPD ed entro 72 ore al GEPD e lo documentano opportunamente.
         
         
            Articolo 14
            Indagini e gestione delle richieste e dei reclami da parte dell’RPD
            
               1.   Il responsabile della protezione dei dati può, di propria iniziativa o su richiesta, avviare un’indagine riguardante una presunta violazione degli obblighi previsti dal regolamento. Le richieste sono presentate per iscritto all’RPD.
            
            
               2.   L’RPD può richiedere al titolare del trattamento responsabile dell’attività di trattamento dei dati in questione di rilasciare una dichiarazione scritta nel merito. Il titolare del trattamento dei dati fornisce la risposta all’RPD entro 14 giorni di calendario dal ricevimento della richiesta. L’RPD può richiedere l’accesso a informazioni complementari, documenti, supporti per i dati, centri dati, locali e sistemi di altri servizi del SEAE, in particolare della divisione informatica, della direzione per la sicurezza e della direzione generale che si occupa delle indagini amministrative e delle procedure disciplinari. Le informazioni o il parere sono trasmessi all’RPD entro 14 giorni di calendario.
            
            
               3.   In caso di richieste manifestamente infondate, abusive ed eccessive, in particolare qualora si tratti di richieste di carattere ripetitivo provenienti dallo stesso interessato, l’RPD può rifiutare di darvi seguito a norma dell’articolo 14 del regolamento. Il richiedente ne sarà debitamente informato.
            
         
         SEZIONE 5
         
            PROCEDURA PER L’ESERCIZIO DEI DIRITTI DELL’INTERESSATO
         
         
            Articolo 15
            Disposizioni generali
            
               1.   Gli interessati possono contattare il titolare del trattamento o il responsabile della protezione dei dati per esercitare i propri diritti conformemente agli articoli da 14 a 24 del regolamento.
            
            
               2.   Le richieste di esercizio dei diritti degli interessati sono presentate per iscritto. Se necessario, l’RPD aiuta l’interessato a individuare il titolare del trattamento competente. L’RPD trasmette tutte le richieste ricevute al titolare del trattamento dei dati competente, che ha la facoltà di consultare l’RPD.
            
            
               3.   I titolari del trattamento dei dati trattano la richiesta e rispondono direttamente all’interessato.
            
         
         
            Articolo 16
            Trattamento delle richieste per l’esercizio dei diritti dell’interessato
            
               1.   I titolari del trattamento dei dati trattano la richiesta solo dopo che l’identità del richiedente è stata verificata o, qualora la richiesta sia presentata da un rappresentante dell’interessato, previa autorizzazione dell’interessato.
            
            
               2.   Il titolare del trattamento responsabile dell’attività di trattamento dei dati invia al richiedente un avviso di ricevimento entro 14 giorni di calendario dal ricevimento della richiesta da parte del SEAE. Salvo altrimenti disposto, il titolare del trattamento risponde alla richiesta entro un mese dalla registrazione della stessa. Il titolare del trattamento fornisce una risposta positiva alla richiesta oppure indica per iscritto i motivi di un rifiuto totale o parziale. Il termine di risposta può essere prorogato per un massimo di 2 mesi, tenendo conto della complessità della questione e del numero di richieste ricevute, in conformità dell’articolo 14, paragrafo 3, del regolamento.
            
            
               3.   La richiesta dell’interessato può essere rifiutata se:
               
                           a)
                        
                        
                           non è giustificata;
                        
                     
                           b)
                        
                        
                           si applica un’eccezione prevista dal regolamento;
                        
                     
                           c)
                        
                        
                           si applica una limitazione conformemente alle norme interne (5) adottate sulla base dell’articolo 25 del regolamento.
                        
                     
            
               4.   In caso di richieste manifestamente infondate, abusive ed eccessive, in particolare qualora si tratti di richieste di carattere ripetitivo provenienti dallo stesso interessato, il titolare del trattamento può, previa consultazione dell’RPD, rifiutare di darvi seguito a norma dell’articolo 14 del regolamento. Il richiedente ne sarà debitamente informato.
            
         
         
            Articolo 17
            Eccezioni e limitazioni
            Le limitazioni in conformità delle norme interne adottate sulla base dell’articolo 25 del regolamento e le eccezioni di cui agli articoli da 15 a 19 e da 21 a 24 del regolamento si applicano solo previa consultazione del responsabile della protezione dei dati.
         
         SEZIONE 6
         
            DISPOSIZIONI FINALI
         
         
            Articolo 18
            Comunicazione relativa alla presente decisione
            
               1.   Conformemente all’articolo 41 del regolamento, il GEPD è informato della presente decisione.
            
            
               2.   La presente decisione è messa a disposizione del personale del SEAE con mezzi appropriati, in particolare tramite la pubblicazione sul sito interno del SEAE.
            
         
         
            Articolo 19
            Abrogazione
            La decisione PROC HR(2011) 016 dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza, dell’8 dicembre 2011, riguardante la protezione dei dati personali è abrogata.
         
         
            Articolo 20
            Effetto
            La presente decisione ha effetto il giorno successivo all’adozione.
         
         
            Fatto a Bruxelles, il 1o ottobre 2019
            
               Federica MOGHERINI
               
                  L’alto rappresentante
               
            
         
         
            (1)  GU L 201 del 3.8.2010, pag. 30.
         
            (2)  GU L 295 del 21.11.2018, pag. 39.
         
            (3)  Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), (GU L 119 del 4.5.2016, pag. 1).
         
            (4)  Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, (GU L 119 del 4.5.2016, pag. 89).
         
            (5)  Decisione dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza sulle norme interne relative alle limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito del funzionamento del servizio europeo per l’azione esterna (ADMIN(2019) 10).