CELEX: 32021D1093
Language: it
Date: 2021-06-28 00:00:00
Title: Decisione (UE) 2021/1093 del Consiglio del 28 giugno 2021 che stabilisce le norme di attuazione riguardanti il responsabile della protezione dei dati del Consiglio, l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e le limitazioni dei diritti degli interessati nel contesto dell’esecuzione dei compiti del responsabile della protezione dei dati del Consiglio, e che abroga la decisione 2004/644/CE del Consiglio

5.7.2021   
               
               
                  IT
               
               
                  Gazzetta ufficiale dell’Unione europea
               
               
                  L 236/55
               
            
         DECISIONE (UE) 2021/1093 DEL CONSIGLIO
         del 28 giugno 2021
         che stabilisce le norme di attuazione riguardanti il responsabile della protezione dei dati del Consiglio, l’applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e le limitazioni dei diritti degli interessati nel contesto dell’esecuzione dei compiti del responsabile della protezione dei dati del Consiglio, e che abroga la decisione 2004/644/CE del Consiglio
         IL CONSIGLIO DELL’UNIONE EUROPEA,
         visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 240, paragrafo 3,
         visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (1), in particolare l’articolo 45, paragrafo 3,
         considerando quanto segue:
         
                     (1)
                  
                  
                     Il regolamento (UE) 2018/1725 stabilisce principi e norme applicabili a tutte le istituzioni e gli organi dell’Unione e prevede la nomina, da parte di ogni istituzione od organo dell’Unione, di un responsabile della protezione dei dati.
                  
               
                     (2)
                  
                  
                     L’articolo 45, paragrafo 3, del regolamento (UE) 2018/1725 prevede che ogni istituzione od organo dell’Unione adotti le norme di attuazione relative al responsabile della protezione dei dati («norme di attuazione»). Le norme di attuazione dovrebbero riguardare in particolare i compiti, le funzioni e le competenze del responsabile della protezione dei dati del Consiglio e del segretariato generale del Consiglio («RPD»).
                  
               
                     (3)
                  
                  
                     Le norme di attuazione dovrebbero stabilire, relativamente al trattamento dei dati personali, le procedure mediante le quali gli interessati esercitano i loro diritti e tutti gli attori implicati nell’ambito del Consiglio e del segretariato generale del Consiglio («SGC») adempiono ai loro obblighi.
                  
               
                     (4)
                  
                  
                     Il regolamento (UE) 2018/1725 stabilisce responsabilità ben definite dei titolari del trattamento, in particolare per quanto riguarda i diritti degli interessati. Le norme di attuazione dovrebbero garantire che il Consiglio e l’SGC adempiano alle loro responsabilità di titolari del trattamento in modo uniforme e trasparente. Dovrebbero essere disposte norme al fine di individuare chi è responsabile di un trattamento svolto per conto del Consiglio o dell’SGC. A tale riguardo è opportuno introdurre il concetto di un «titolare del trattamento delegato», per indicare precisamente le responsabilità delle entità dell’SGC, in particolare per quanto concerne le decisioni individuali relative ai diritti degli interessati. È inoltre opportuno introdurre il concetto di un «titolare del trattamento operativo», che, sotto la responsabilità del titolare del trattamento delegato, è incaricato di garantire nella pratica l’osservanza delle norme e di esaminare le richieste degli interessati riguardo a un trattamento. Al fine di precisare le responsabilità in seno all’SGC per ciascuna attività di trattamento, il titolare del trattamento operativo dovrebbe essere indicato con precisione nella registrazione annotata nel registro. La nomina di un titolare del trattamento operativo non impedisce di ricorrere nella pratica a un punto di contatto, per esempio nella forma di una casella di posta elettronica funzionale a cui possono essere inviate le richieste degli interessati.
                  
               
                     (5)
                  
                  
                     In alcuni casi, più direzioni generali o servizi dell’SGC effettuano congiuntamente un trattamento per assolvere alle proprie funzioni. In tali circostanze dovrebbero garantire l’esistenza di accordi interni per determinare in modo trasparente le rispettive responsabilità ai sensi del regolamento (UE) 2018/1725, in particolare in relazione ai diritti degli interessati, alla notifica al garante europeo della protezione dei dati («GEPD») e alla tenuta dei registri.
                  
               
                     (6)
                  
                  
                     Onde facilitare l’esercizio delle responsabilità dei titolari del trattamento delegati, ogni direzione generale o altro servizio dell’SGC dovrebbe nominare un coordinatore per la protezione dei dati. I coordinatori per la protezione dei dati dovrebbero fornire assistenza alla direzione generale o ad altro servizio dell’SGC in tutti gli aspetti della protezione dei dati personali e partecipano alla rete dei coordinatori per la protezione dei dati dell’SGC per garantire un’attuazione e un’interpretazione coerenti del regolamento (UE) 2018/1725.
                  
               
                     (7)
                  
                  
                     Ai sensi dell’articolo 45, paragrafo 1, lettera b), del regolamento (UE) 2018/1725, l’RPD potrebbe emanare orientamenti supplementari sulla funzione del coordinatore per la protezione dei dati.
                  
               
                     (8)
                  
                  
                     L’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre a ogni istituzione od organo dell’Unione la possibilità di limitare l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 di tale regolamento, nonché del principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento.
                  
               
                     (9)
                  
                  
                     In alcuni casi, l’RPD può dover limitare i diritti degli interessati per svolgere i compiti di controllo, indagine, revisione o consultazione di cui all’articolo 45 del regolamento (UE) 2018/1725 nel rispetto del livello di protezione dei dati personali a norma di tale regolamento. È necessario adottare norme interne in base alle quali l’RPD possa limitare i diritti degli interessati conformemente all’articolo 25 («norme interne»).
                  
               
                     (10)
                  
                  
                     Le norme interne dovrebbero applicarsi a tutti i trattamenti di dati effettuati dal Consiglio e dall’SGC nello svolgimento dei compiti di controllo, indagine, revisione o consultazione dell’RPD. Le norme interne dovrebbero altresì applicarsi ai trattamenti rientranti nei compiti connessi alla funzione di indagine o di revisione dell’RPD, come i procedimenti legati a reclami svolti dall’RPD. Le norme interne dovrebbero inoltre applicarsi al controllo da parte dell’RPD e alle sue consultazioni, qualora l’RPD cooperi e fornisca assistenza alle direzioni generali e ai servizi dell’SGC al di fuori delle sue revisioni e indagini amministrative.
                  
               
                     (11)
                  
                  
                     Il Consiglio e l’SGC possono dover applicare, ai trattamenti dei dati eseguiti nell’ambito dei compiti di controllo, indagine, revisione o consultazione dell’RPD, delle limitazioni sulla base dei motivi di cui all’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento (UE) 2018/1725, qualora ciò sia necessario per tutelare i compiti dell’RPD, le indagini e i procedimenti correlati, gli strumenti e i metodi delle indagini e delle revisioni dell’RPD, così come i diritti di altre persone collegati ai compiti dell’RPD.
                  
               
                     (12)
                  
                  
                     Allo scopo di mantenere una cooperazione efficace è possibile che il Consiglio e l’SGC debbano applicare limitazioni ai diritti degli interessati per proteggere le informazioni contenenti dati personali provenienti da direzioni generali e altri servizi dell’SGC oppure altre istituzioni od organi dell’Unione. A questo scopo l’RPD dovrebbe consultare tali direzioni generali e servizi o altre istituzioni od organi sui motivi pertinenti di tali limitazioni e sulla loro necessità e proporzionalità.
                  
               
                     (13)
                  
                  
                     L’RPD e, se del caso, le direzioni generali e i servizi dell’SGC dovrebbero gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione delle limitazioni nel corrispondente sistema di registrazione.
                  
               
                     (14)
                  
                  
                     A norma dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, i titolari del trattamento possono differire la comunicazione all’interessato di informazioni relative ai motivi dell’applicazione di una limitazione o astenersi da tale comunicazione qualora ciò comprometta in qualsiasi modo la finalità di tale limitazione. In particolare, qualora si applichi una limitazione dei diritti di cui agli articoli 16 e 35 di tale regolamento, la relativa notifica ne comprometterebbe la finalità. Al fine di garantire che il diritto dell’interessato a essere informato conformemente a tali articoli sia limitato solo durante il periodo in cui permangono i motivi per il rinvio della comunicazione, l’RPD oppure le direzioni generali o i servizi dell’SGC che applicano la limitazione dovrebbero riesaminare periodicamente la propria posizione.
                  
               
                     (15)
                  
                  
                     Qualora sia applicata una limitazione di altri diritti degli interessati, l’RPD dovrebbe valutare caso per caso se la comunicazione della limitazione ne comprometta la finalità.
                  
               
                     (16)
                  
                  
                     L’RPD dovrebbe effettuare un riesame indipendente dell’applicazione delle limitazioni imposte sulla base della presente decisione da altre direzioni generali o altri servizi dell’SGC, al fine di garantire l’osservanza della presente decisione.
                  
               
                     (17)
                  
                  
                     È opportuno che qualsiasi limitazione applicata sulla base della presente decisione sia necessaria e proporzionata in una società democratica.
                  
               
                     (18)
                  
                  
                     Conformemente all’articolo 41, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il GEPD è stato informato e consultato e ha espresso un parere (2).
                  
               
                     (19)
                  
                  
                     Le norme di attuazione del regolamento (UE) 2018/1725 lasciano impregiudicati il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio (3), la decisione 2004/338/CE, Euratom del Consiglio (4), in particolare l’allegato II, la decisione 2013/488/UE del Consiglio (5), in particolare l’allegato, parte II, sezione VI, nonché la decisione del segretario generale del Consiglio/alto rappresentante per la politica estera e di sicurezza comune del 25 giugno 2001 (6).
                  
               
                     (20)
                  
                  
                     La decisione 2004/644/CE del Consiglio (7) stabilisce norme di attuazione relative al regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio. Il regolamento (UE) 2018/1725 ha abrogato il regolamento (CE) n. 45/2001 con decorrenza dall’11 dicembre 2019. Per garantire che sia applicabile un solo insieme di norme di attuazione è opportuno abrogare la decisione 2004/644/CE,
                  
               HA ADOTTATO LA PRESENTE DECISIONE:
         SEZIONE 1
         
            DISPOSIZIONI GENERALI
         
         
            Articolo 1
            Oggetto e ambito di applicazione
            
               1.   La presente decisione stabilisce le norme e le procedure per l’applicazione del regolamento (UE) 2018/1725 da parte del Consiglio e del segretariato generale del Consiglio (SGC), nonché le ulteriori norme di attuazione relative al responsabile della protezione dei dati del Consiglio (RPD).
            
            
               2.   La presente decisione stabilisce le norme che il Consiglio e l’SGC devono rispettare, in relazione ai compiti di controllo, indagine, revisione e consultazione dell’RPD, quando informano gli interessati del trattamento dei loro dati personali conformemente agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725.
            
            
               3.   La presente decisione stabilisce le condizioni alle quali il Consiglio e l’SGC, in relazione alle attività di controllo, indagine, revisione e consultazione dell’RPD, possono limitare l’applicazione dell’articolo 4, degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725 conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), di tale regolamento.
            
            
               4.   La presente decisione si applica al trattamento dei dati personali da parte del Consiglio e dell’SGC ai fini dei compiti del responsabile della protezione dei dati di cui all’articolo 45 del regolamento (UE) 2018/1725, o in relazione a tali compiti.
            
         
         
            Articolo 2
            Titolarità del trattamento
            Ai fini della presente decisione il Consiglio e l’SGC sono considerati i titolari del trattamento ai sensi dell’articolo 3, punto 8, del regolamento (UE) 2018/1725.
         
         
            Articolo 3
            Definizioni
            Ai fini della presente decisione si applicano le seguenti definizioni:
            
                        1)
                     
                     
                        «responsabile della protezione dei dati» (RPD): la persona designata dal segretario generale del Consiglio ai sensi dell’articolo 43 del regolamento (UE) 2018/1725;
                     
                  
                        2)
                     
                     
                        «compiti dell’RPD»: i compiti di cui all’articolo 45 del regolamento (UE) 2018/1725;
                     
                  
                        3)
                     
                     
                        «personale dell’SGC»: tutti i funzionari dell’SGC e qualsiasi altra persona soggetta allo statuto dei funzionari dell’Unione europea e al regime applicabile agli altri agenti dell’Unione di cui al regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio (8) («statuto»), o impiegata presso l’SGC su base contrattuale (vale a dire, tirocinanti, consulenti, dipendenti di ditte appaltatrici, funzionari distaccati dagli Stati membri);
                     
                  
                        4)
                     
                     
                        «titolare del trattamento delegato»: la persona a capo di una direzione generale o di un altro servizio dell’SGC che, singolarmente o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali per conto del Consiglio o dell’SGC nell’adempimento dei compiti di tale direzione generale o servizio;
                     
                  
                        5)
                     
                     
                        «titolare del trattamento operativo»: il membro del personale dell’SGC con funzioni dirigenziali intermedie o alte, designato dal titolare del trattamento delegato per assisterlo nel garantire il rispetto del regolamento (UE) 2018/1725 per quanto riguarda i trattamenti di cui è responsabile e fungere da punto di contatto principale per gli interessati;
                     
                  
                        6)
                     
                     
                        «coordinatore per la protezione dei dati»: il membro del personale dell’SGC designato in ogni direzione generale o altro servizio dell’SGC in consultazione con l’RPD per assistere tale direzione generale o servizio in tutti gli aspetti della protezione dei dati personali e per trattare in qualità di suo rappresentante le questioni relative alla protezione dei dati in stretta cooperazione con l’RPD.
                     
                  
         SEZIONE 2
         
            IL RESPONSABILE DELLA PROTEZIONE DEI DATI
         
         
            Articolo 4
            Designazione e status dell’RPD
            
               1.   Il segretario generale del Consiglio designa l’RPD fra il personale dell’SGC e ne comunica il nome al garante europeo della protezione dei dati («GEPD»), conformemente all’articolo 43 del regolamento (UE) 2018/1725.
            
            
               2.   L’RPD è selezionato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 45 del regolamento (UE) 2018/1725. L’RPD ha inoltre una buona conoscenza dell’SGC, della sua struttura e delle sue norme e procedure amministrative. Ai fini dello svolgimento dei suoi compiti, l’RPD è esonerato da qualsiasi altro compito in seno all’SGC.
            
            
               3.   L’RPD è designato per un periodo di cinque anni e il suo mandato è rinnovabile.
            
            
               4.   L’RPD e il relativo personale dipendono direttamente dal segretario generale del Consiglio e gli riferiscono direttamente.
            
            
               5.   Nell’esecuzione dei suoi compiti, l’RPD agisce in modo indipendente e non riceve istruzioni dal segretario generale del Consiglio, dai titolari del trattamento delegati o dai titolari del trattamento operativi, o da chiunque altro, istruzioni riguardo all’applicazione interna delle disposizioni del regolamento (UE) 2018/1725 o alla sua cooperazione con il GEPD.
            
            
               6.   Il Consiglio e l’SGC sostengono l’RPD nell’esecuzione dei compiti di cui all’articolo 45 del regolamento (UE) 2018/1725 fornendogli le risorse necessarie per assolvere tali compiti e fornire l’accesso ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.
            
            
               7.   L’RPD non è rimosso o penalizzato per l’adempimento dei propri compiti; può essere rimosso solo in conformità dell’articolo 44, paragrafo 8, del regolamento (UE) 2018/1725. Al fine di ottenere il consenso del GEPD a tale destituzione a norma di tale articolo, il GEPD è consultato per iscritto. Una copia di tale consenso è trasmessa all’RPD.
            
            
               8.   L’SGC, in particolare i titolari del trattamento delegati e i titolari del trattamento operativi, si assicurano che l’RPD sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
            
         
         
            Articolo 5
            Compiti e funzioni
            
               1.   L’RPD svolge tutti i compiti previsti all’articolo 45 del regolamento (UE) 2018/1725. In particolare, l’RPD deve:
               
                           a)
                        
                        
                           garantire l’applicazione e l’attuazione del regolamento (UE) 2018/1725 da parte del Consiglio e dell’SGC e sorvegliare l’osservanza di tale regolamento e del quadro giuridico applicabile in materia di protezione dei dati personali;
                        
                     
                           b)
                        
                        
                           fornire consulenza al segretario generale del Consiglio, ai titolari del trattamento delegati e ai titolari del trattamento operativi su questioni relative all’applicazione delle disposizioni relative alla protezione dei dati;
                        
                     
                           c)
                        
                        
                           fornire consulenza e assistenza ai titolari del trattamento delegati e ai titolari del trattamento operativi quando effettuano una valutazione d’impatto sulla protezione dei dati a norma degli articoli 39 e 40 del regolamento (UE) 2018/1725;
                        
                     
                           d)
                        
                        
                           garantire che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati;
                        
                     
                           e)
                        
                        
                           sensibilizzare in merito al quadro giuridico applicabile in materia di protezione dei dati personali e contribuire a creare una cultura della protezione dei dati personali all’interno dell’SGC.
                        
                     L’RPD può essere consultato dal segretario generale, dai pertinenti responsabili del trattamento, dal comitato del personale e da qualsiasi persona, senza seguire la via gerarchica, su qualsiasi aspetto riguardante l’applicazione o l’attuazione del regolamento (UE) 2018/1725.
            
            
               2.   L’RPD tiene le registrazioni delle attività di trattamento in un registro disponibile al pubblico conformemente all’articolo 12.
            
            
               3.   L’RPD tiene inoltre un registro interno delle violazioni dei dati personali ai sensi dell’articolo 3, punto 16, del regolamento (UE) 2018/1725.
            
            
               4.   L’RPD fornisce consulenza al titolare del trattamento delegato, se richiesto, in merito all’applicazione di una limitazione all’applicazione degli articoli da 14 a 22, 35 e 36, nonché dell’articolo 4 del regolamento (UE) 2018/1725.
            
            
               5.   L’RPD organizza e presiede le riunioni periodiche dei coordinatori per la protezione dei dati.
            
            
               6.   L’RPD presenta al segretario generale del Consiglio una relazione annuale sulla propria attività e la rende accessibile al personale dell’SGC.
            
            
               7.   L’RPD coopera con i responsabili della protezione dei dati designati dalle altre istituzioni e dagli altri organi dell’Unione e partecipa regolarmente alle riunioni convocate dal GEPD o dai responsabili della protezione dei dati delle altre istituzioni e degli altri organi dell’Unione al fine di facilitare una buona cooperazione, in particolare mediante lo scambio di esperienze e migliori pratiche.
            
            
               8.   L’RPD è considerato il titolare del trattamento delegato per i trattamenti effettuati nell’esecuzione dei suoi compiti.
            
         
         
            Articolo 6
            Competenze
            Nell’adempimento dei suoi compiti e delle sue funzioni l’RPD:
            
                        a)
                     
                     
                        ha accesso in qualsiasi momento ai dati oggetto del trattamento e a tutti gli uffici, alle installazioni per il trattamento dei dati e ai supporti di dati;
                     
                  
                        b)
                     
                     
                        può chiedere pareri giuridici al servizio giuridico del Consiglio;
                     
                  
                        c)
                     
                     
                        può richiedere ulteriore sostegno alle direzioni generali e ai servizi competenti dell’SGC;
                     
                  
                        d)
                     
                     
                        può assegnare fascicoli alle direzioni generali e ai servizi dell’SGC interessate affinché sia dato un adeguato seguito;
                     
                  
                        e)
                     
                     
                        può, su richiesta o di propria iniziativa, svolgere indagini sulle questioni e sui fatti direttamente collegati con i suoi compiti conformemente alla procedura di cui all’articolo 14;
                     
                  
                        f)
                     
                     
                        può proporre provvedimenti amministrativi al segretario generale del Consiglio e formulare raccomandazioni generali sulla corretta applicazione del regolamento (UE) 2018/1725;
                     
                  
                        g)
                     
                     
                        può formulare raccomandazioni per il miglioramento concreto dell’applicazione del regolamento (UE) 2018/1725 destinate all’SGC, ai titolari del trattamento delegati e ai titolari del trattamento operativi, finalizzate fra l’altro a:
                        
                                    i)
                                 
                                 
                                    chiedere al titolare del trattamento delegato o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti che gli derivano dal regolamento (UE) 2018/1725;
                                 
                              
                                    ii)
                                 
                                 
                                    rivolgere avvertimenti al titolare del trattamento delegato o al responsabile del trattamento qualora un trattamento violi le disposizioni del regolamento (UE) 2018/1725, e chiedere loro di conformare i trattamenti a tali disposizioni, se del caso, in una determinata maniera ed entro un determinato termine;
                                 
                              
                                    iii)
                                 
                                 
                                    chiedere al titolare del trattamento delegato o al responsabile del trattamento di sospendere i flussi di dati verso un destinatario in uno Stato membro o in un paese terzo o verso un’organizzazione internazionale;
                                 
                              
                                    iv)
                                 
                                 
                                    chiedere al titolare del trattamento delegato o al responsabile del trattamento di riferirgli entro un termine stabilito sul seguito dato a una raccomandazione o a un consiglio formulato dall’RPD stesso;
                                 
                              
                  
                        h)
                     
                     
                        può chiedere i servizi di esperti esterni di tecnologie dell’informazione e della comunicazione previo consenso dell’ordinatore e conformemente al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio (9);
                     
                  
                        i)
                     
                     
                        è invitato ai pertinenti consigli di amministrazione e comitati dell’SGC ogniqualvolta si discutano questioni relative al trattamento dei dati personali e può proporre punti pertinenti sull’ordine del giorno di tali consigli e comitati;
                     
                  
                        j)
                     
                     
                        può segnalare all’autorità che ha il potere di nomina dell’SGC qualsiasi inadempimento da parte di un membro del personale dell’SGC degli obblighi di cui al regolamento (UE) 2018/1725 e proporre che sia avviata un’indagine amministrativa in vista dell’eventuale applicazione delle sanzioni previste all’articolo 69 di tale regolamento;
                     
                  
                        k)
                     
                     
                        è responsabile delle decisioni iniziali sulle richieste di accesso a documenti detenuti dal suo ufficio ai sensi del regolamento (CE) n. 1049/2001, in consultazione con i servizi competenti dell’SGC.
                     
                  
         SEZIONE 3
         
            DIRITTI E OBBLIGHI DEGLI ATTORI NEL SETTORE DELLA PROTEZIONE DEI DATI
         
         
            Articolo 7
            Consultazione e fornitura di informazione all’RPD
            
               1.   I titolari del trattamento coinvolgono l’RPD nella pianificazione e nella discussione di un’attività che comprenda il trattamento dei dati personali. L’RPD è informato di qualsiasi trattamento e di qualsiasi modifica sostanziale di un trattamento in corso.
            
            
               2.   L’RPD è informato dei progetti di note interne e decisioni dell’SGC direttamente connesse all’applicazione interna del regolamento (UE) 2018/1725.
            
            
               3.   L’RPD è informato di tutti i contatti con parti esterne relativi all’applicazione interna del regolamento (UE) 2018/1725 e di qualsiasi interazione con il GEPD, in particolare qualora quest’ultimo sia consultato o informato a norma degli articoli 40 e 41 di detto regolamento.
            
            
               4.   L’RPD è consultato sui progetti di accordi tra contitolari del trattamento e sui progetti di clausole contrattuali sulla protezione dei dati o di altri atti giuridici qualora i dati personali siano trattati da un responsabile del trattamento.
            
         
         
            Articolo 8
            Titolari del trattamento delegati
            
               1.   Ai titolari del trattamento delegati spetta assicurare che tutti i trattamenti sotto il loro controllo siano conformi al regolamento (UE) 2018/1725.
            
            
               2.   In particolare, i titolari del trattamento delegati:
               
                           a)
                        
                        
                           designano un titolare del trattamento operativo che li assista nel garantire l’osservanza del regolamento (UE) 2018/1725, in particolare nei confronti degli interessati;
                        
                     
                           b)
                        
                        
                           tengono le registrazioni delle attività di trattamento svolte sotto la loro responsabilità e garantiscono che le registrazioni e la relativa informativa sulla privacy siano presentate dal titolare del trattamento operativo all’RPD per essere iscritte nel registro di cui all’articolo 12;
                        
                     
                           c)
                        
                        
                           sono responsabili delle attività dei responsabili del trattamento e dei subincaricati del trattamento che trattano dati personali per loro conto e garantiscono che il trattamento sia disciplinato da un contratto o da un altro atto giuridico a norma dell’articolo 29, paragrafo 3, del regolamento (UE) 2018/1725.
                        
                     
            
               3.   I titolari del trattamento delegati garantiscono che l’RPD sia coinvolto tempestivamente in tutte le questioni relative ai dati personali e predispongono disposizioni adeguate per garantire che il coordinatore per la protezione dei dati sia adeguatamente coinvolto in tutte le questioni relative alla protezione dei dati nella propria direzione generale o in un altro servizio dell’SGC.
            
            
               4.   I titolari del trattamento delegati garantiscono che siano in atto opportune misure tecniche e organizzative per dimostrare che le attività di trattamento sono conformi al regolamento (UE) 2018/1725 e impartiscono istruzioni adeguate al personale dell’SGC per garantire sia la riservatezza del trattamento sia un livello di sicurezza appropriato in relazione ai rischi che il trattamento comporta. Possono consultare l’RPD per selezionare tali misure.
            
            
               5.   I titolari del trattamento delegati riferiscono all’RPD in merito al trattamento di qualsiasi richiesta ricevuta da un interessato per l’esercizio dei suoi diritti e assistono l’RPD e il GEPD nell’esercizio delle rispettive funzioni, in particolare rispondendo alle loro richieste entro 30 giorni.
            
            
               6.   I titolari del trattamento delegati sono responsabili dell’applicazione di una limitazione all’applicazione degli articoli da 14 a 22, 35 e 36 del regolamento (UE) 2018/1725, nonché dell’articolo 4 di tale regolamento conformemente alle pertinenti norme interne. I titolari del trattamento delegati coinvolgono l’RPD in tutta la procedura nell’applicazione di tale limitazione.
            
            
               7.   I titolari del trattamento delegati garantiscono che, qualora effettuino trattamenti congiuntamente con altre direzioni generali o servizi dell’SGC o qualora tali direzioni generali o servizi dell’SGC effettuino una parte del loro trattamento, siano in vigore accordi interni con tali direzioni generali o servizi.
               Gli accordi di cui al primo comma determinano le responsabilità dei titolari del trattamento delegati e delle altre direzioni generali o degli altri servizi dell’SGC in merito all’adempimento degli obblighi di protezione dei dati. In particolare, tali accordi identificano il titolare del trattamento delegato che determina i mezzi e le finalità del trattamento nonché il titolare del trattamento operativo del trattamento, e, se del caso, le persone o le entità che devono assistere il titolare del trattamento operativo, tra l’altro, fornendo informazioni in caso di violazioni dei dati o nel soddisfare i diritti degli interessati.
            
         
         
            Articolo 9
            Titolari del trattamento operativi
            
               1.   I titolari del trattamento operativo assistono il titolare del trattamento delegato nel garantire il rispetto del regolamento (UE) 2018/1725 per quanto riguarda i trattamenti di cui è responsabile e fungono da punto di contatto principale per gli interessati.
            
            
               2.   In particolare, i titolari del trattamento operativi:
               
                           a)
                        
                        
                           ricevono e trattano tutte le richieste degli interessati;
                        
                     
                           b)
                        
                        
                           preparano le registrazioni delle attività di trattamento sotto la loro responsabilità e la relativa informativa sulla privacy in consultazione con il coordinatore per la protezione dei dati;
                        
                     
                           c)
                        
                        
                           garantiscono che i contratti o altri atti giuridici che disciplinano il trattamento dei dati personali da parte di un responsabile del trattamento siano conformi al regolamento (UE) 2018/1725 e consultano l’RPD in merito ai progetti di clausole contrattuali sulla protezione dei dati;
                        
                     
                           d)
                        
                        
                           garantiscono che sia disponibile la documentazione per dimostrare la conformità al regolamento (UE) 2018/1725.
                        
                     
            
               3.   I titolari del trattamento operativi informano senza ingiustificato ritardo l’RPD in caso di violazione dei dati personali e gli forniscono tutte le informazioni necessarie per consentirgli di garantire che il Consiglio rispetti gli obblighi relativi alle violazioni dei dati personali di cui agli articoli 34 e 35 del regolamento (UE) 2018/1725.
            
            
               4.   In coordinamento con il titolare del trattamento delegato e l’RPD, i titolari del trattamento operativi informano il GEPD in caso di violazioni di dati personali, se del caso. Informano altresì gli interessati, se del caso.
            
            
               5.   I titolari del trattamento operativi assicurano che il coordinatore per la protezione dei dati sia tenuto al corrente di tutte le questioni relative alla protezione dei dati.
            
            
               6.   I titolari del trattamento operativi valutano il rischio per i diritti e le libertà dell’interessato connessi ai trattamenti di cui sono responsabili e, se del caso, effettuano una valutazione d’impatto sulla protezione dei dati. I titolari del trattamento operativi chiedono il parere dell’RPD allorquando svolgono tali valutazioni d’impatto e sulla necessità di una consultazione preventiva ai sensi degli articoli 39 e 40 del regolamento (UE) 2018/1725.
            
            
               7.   I titolari del trattamento operativi svolgono, su richiesta del titolare del trattamento delegato, qualsiasi altro compito rientrante nell’ambito di applicazione della presente decisione.
            
         
         
            Articolo 10
            Coordinatori per la protezione dei dati
            
               1.   Ogni direzione generale o altro servizio dell’SGC, in consultazione con l’RPD, nomina uno o più coordinatori per la protezione dei dati al fine di assistere il titolare del trattamento delegato e i titolari del trattamento operativi nella propria direzione generale o in un altro servizio dell’SGC in tutti gli aspetti della protezione dei dati personali.
            
            
               2.   I coordinatori per la protezione dei dati sono scelti in base alla loro conoscenza ed esperienza del funzionamento della rispettiva direzione generale o in un altro servizio dell’SGC, all’idoneità per tale carica, alle competenze riguardanti la protezione dei dati, alla conoscenza dei principi di funzionamento dei sistemi d’informazione e alle competenze comunicative. Entro sei mesi dalla loro nomina, i nuovi coordinatori per la protezione dei dati completano una formazione per acquisire le competenze necessarie per il loro ruolo. Sono dispensati da tale requisito di formazione i coordinatori per la protezione dei dati che hanno precedentemente lavorato quale persona di contatto in un’altra direzione generale o in un altro servizio dell’SGC nei due anni precedenti la propria nomina.
            
            
               3.   La funzione di coordinatore per la protezione dei dati rientra nella descrizione delle mansioni di ciascun membro del personale dell’SGC nominato quale persona di contatto. Le responsabilità e i risultati ottenuti sono indicati nel rapporto di valutazione annuale.
            
            
               4.   I coordinatori per la protezione dei dati sono coinvolti in maniera appropriata e tempestiva in tutte le questioni relative alla protezione dei dati nella loro direzione generale o in un altro servizio dell’SGC e svolgono le loro funzioni in stretta cooperazione con l’RPD.
            
            
               5.   I coordinatori per la protezione dei dati hanno il diritto di ottenere dai responsabili del trattamento e dal personale le informazioni adeguate e necessarie per l’esecuzione dei loro compiti all’interno della loro direzione generale o di un altro servizio dell’SGC. Ciò non include l’accesso ai dati personali trattati sotto la responsabilità del titolare del trattamento delegato. I coordinatori per la protezione dei dati accedono ai dati personali solo se necessario per lo svolgimento dei loro compiti.
            
            
               6.   I coordinatori per la protezione dei dati sensibilizzano alle questioni legate alla protezione dei dati e assistono i titolari del trattamento delegati della loro direzione generale o di un altro servizio dell’SGC nell’adempimento dei loro obblighi, specialmente per quanto riguarda:
               
                           a)
                        
                        
                           l’attuazione del regolamento (UE) 2018/1725;
                        
                     
                           b)
                        
                        
                           l’individuazione dei titolari del trattamento operativi e la preparazione delle registrazioni dei trattamenti e delle informative sulla privacy prima che siano presentate all’RPD;
                        
                     
                           c)
                        
                        
                           la compilazione di un elenco di tutti i trattamenti esistenti della direzione generale o di un altro servizio dell’SGC.
                        
                     
            
               7.   I coordinatori per la protezione dei dati assistono i titolari del trattamento operativi della loro direzione generale o di un altro servizio dell’SGC nell’adempimento dei loro obblighi, specialmente per quanto riguarda:
               
                           a)
                        
                        
                           la preparazione di registrazioni dei trattamenti e delle informative sulla privacy prima che siano presentate all’RPD;
                        
                     
                           b)
                        
                        
                           la documentazione del trattamento;
                        
                     
                           c)
                        
                        
                           il trattamento delle richieste degli interessati;
                        
                     
                           d)
                        
                        
                           la gestione delle violazioni dei dati.
                        
                     
         
         
            Articolo 11
            Personale dell’SGC
            Il personale dell’SGC contribuisce a garantire l’applicazione e l’attuazione del regolamento (UE) 2018/1725. Il personale dell’SGC non ha accesso ai dati personali né tratta tali dati se non è istruito in tal senso dal titolare del trattamento delegato o del titolare del trattamento operativo, salvo che lo richieda il diritto dell’Unione o degli Stati membri.
         
         SEZIONE 4
         
            ALTRI OBBLIGHI E PROCEDURE
         
         
            Articolo 12
            Registro
            
               1.   L’RPD tiene un registro dei trattamenti e assicura che il registro sia accessibile dal proprio sito web sull’intranet dell’SGC e dal sito web del Consiglio.
            
            
               2.   Il titolare del trattamento operativo notifica all’RPD qualsiasi trattamento e presenta le registrazioni delle attività di trattamento e la relativa informativa sulla privacy mediante un formulario disponibile sul sito intranet dell’SGC (nell’ambito di «Protezione dei dati»). La notificazione è trasmessa all’RPD per via elettronica. Previa consultazione dell’RPD, il titolare del trattamento delegato conferma la registrazione e la relativa informativa sulla privacy e l’RPD li pubblica nel registro.
            
            
               3.   La registrazione contiene tutte le informazioni di cui all’articolo 31 del regolamento (UE) 2018/1725. Tuttavia, in via eccezionale, le informazioni iscritte dall’RPD nel registro possono essere limitate a quanto è necessario per salvaguardare la sicurezza di un determinato trattamento. L’RPD è informato tempestivamente dal titolare del trattamento operativo di ogni modifica relativa a tali informazioni.
            
         
         
            Articolo 13
            Violazioni dei dati
            
               1.   In caso di violazione dei dati personali, il titolare del trattamento delegato o il titolare del trattamento operativo chiede l’assistenza del coordinatore per la protezione dei dati e informa l’RPD dell’incidente senza indebito ritardo fornendo tutte le informazioni necessarie affinché possa garantire che il Consiglio rispetti gli obblighi in materia di notifica e comunicazione di una violazione dei dati personali a norma degli articoli 34 e 35 del regolamento (UE) 2018/1725.
            
            
               2.   L’RPD istituisce e tiene un registro interno delle violazioni dei dati personali. I titolari del trattamento delegati e i titolari del trattamento operativi forniscono le informazioni necessarie da introdurre nel registro.
            
            
               3.   I titolari del trattamento delegati e i titolari del trattamento operativi preparano la notifica al GEPD in consultazione con l’RPD, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.
            
         
         
            Articolo 14
            Indagini
            
               1.   L’RPD può, di propria iniziativa o su richiesta del titolare del trattamento delegato, del titolare del trattamento operativo, del responsabile del trattamento, del comitato del personale o di qualsiasi persona fisica, indagare sulle questioni e sui fatti collegati con i suoi compiti e riferire in merito alla persona che lo ha incaricato dell’indagine o al titolare del trattamento delegato, al titolare del trattamento operativo o al responsabile del trattamento.
            
            
               2.   Le richieste di indagine sono trasmesse per iscritto all’RPD. In caso di palese abuso del diritto a chiedere un’indagine, per esempio qualora la stessa persona fisica abbia presentato di recente una richiesta identica, l’RPD non è tenuto a rispondere al richiedente.
            
            
               3.   Entro quindici giorni dal ricevimento di una richiesta di indagine, l’RPD trasmette un avviso di ricevimento alla persona che ha presentato la richiesta e verifica se la richiesta debba essere trattata in maniera riservata.
            
            
               4.   L’RPD chiede al titolare del trattamento delegato che è responsabile del trattamento dei dati in questione che è il soggetto della richiesta d’indagine di fornire una relazione al riguardo. Il titolare del trattamento delegato risponde all’RPD entro quindici giorni. L’RPD può chiedere informazioni complementari al titolare del trattamento delegato, al titolare del trattamento operativo, al responsabile del trattamento o ad altri servizi pertinenti dell’SGC. Se del caso, può chiedere un parere sulla questione al servizio giuridico del Consiglio. Le informazioni o il parere richiesti sono forniti all’RPD entro trenta giorni.
            
            
               5.   L’RPD risponde alla persona che ha presentato la richiesta d’indagine entro tre mesi dal ricevimento della stessa. Tale termine può essere sospeso finché l’RPD non abbia ottenuto tutte le informazioni necessarie eventualmente richieste.
            
            
               6.   Nessuno può subire pregiudizio per una questione portata all’attenzione dell’RPD e riguardante un’asserita violazione del regolamento (UE) 2018/1725.
            
         
         
            Articolo 15
            Norme generali per l’esercizio dei diritti da parte degli interessati
            
               1.   I diritti degli interessati di cui agli articoli da 14 a 24 del regolamento (UE) 2018/1725 possono essere esercitati solo dall’interessato o dal suo rappresentante debitamente autorizzato.
            
            
               2.   L’interessato trasmette le richieste per iscritto al titolare del trattamento operativo, con copia all’RPD. Se necessario, l’RPD assiste l’interessato nell’individuare il pertinente titolare del trattamento operativo. La richiesta può essere presentata in formato elettronico e contiene:
               
                           a)
                        
                        
                           cognome, nome e dati di contatto dell’interessato e data della richiesta;
                        
                     
                           b)
                        
                        
                           un’indicazione del diritto da esercitare e, se del caso, i documenti giustificativi relativi alla richiesta;
                        
                     
                           c)
                        
                        
                           la categoria o le categorie dei dati personali in questione.
                        
                     
            
               3.   Il titolare del trattamento operativo trasmette all’interessato un avviso di ricevimento entro cinque giorni lavorativi dalla registrazione della richiesta. Chiede i chiarimenti necessari se la richiesta è poco chiara o incompleta. I termini applicabili a norma dell’articolo 14, paragrafi 3 e 4, del regolamento (UE) 2018/1725 non iniziano a decorrere fino a che non siano stati forniti i chiarimenti necessari.
            
            
               4.   Il titolare del trattamento operativo verifica l’identità dell’interessato conformemente all’articolo 14, paragrafo 6, del regolamento (UE) 2018/1725. Mentre l’identità viene verificata, i termini applicabili a norma dell’articolo 14, paragrafi 3 e 4, di tale regolamento non inizia a decorrere.
            
            
               5.   Il titolare del trattamento operativo dà seguito all’interessato o motiva per iscritto le ragioni del rifiuto totale o parziale entro i termini di cui all’articolo 14, paragrafi 3 e 4, del regolamento (UE) 2018/1725.
            
            
               6.   In caso di richiesta altamente complessa, irregolarità o palese abuso da parte dell’interessato nell’esercizio dei suoi diritti, qualora il trattamento di una richiesta possa presentare un rischio per i diritti e le libertà di altri interessati o qualora l’interessato sostenga che il trattamento è illecito, il titolare del trattamento operativo consulta l’RPD.
            
         
         
            Articolo 16
            Reclami ai sensi dell’articolo 90
            In caso di reclamo ai sensi dell’articolo 90 dello statuto («reclamo ai sensi dell’articolo 90») per una questione relativa al trattamento dei dati personali, l’autorità che ha il potere di nomina consulta l’RPD. Fatta salva l’ammissibilità del reclamo ai sensi dell’articolo 90, il membro del personale dell’SGC indica nel reclamo stesso se in parallelo è stato presentato un reclamo al GEPD. L’RPD deve formulare un parere per iscritto entro quindici giorni lavorativi dal ricevimento della richiesta da parte dell’autorità che ha il potere di nomina. Se al termine di questo periodo l’RPD non ha trasmesso il parere, questo non è più richiesto. L’autorità che ha il potere di nomina non è vincolata dal parere dell’RPD.
         
         SEZIONE 5
         
            LIMITAZIONI DEI DIRITTI DEGLI INTERESSATI NEL CONTESTO DELL’ESECUZIONE DEI COMPITI DELL’RDP
         
         
            Articolo 17
            Eccezioni e limitazioni
            
               1.   Qualora eserciti le sue funzioni in relazione ai diritti degli interessati a norma del regolamento (UE) 2018/1725, il Consiglio o l’SGC valuta se si applichi una delle eccezioni stabilite in tale regolamento.
            
            
               2.   Fatti salvi gli articoli da 18 a 22 della presente decisione, il Consiglio o l’SGC può limitare, conformemente all’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento (UE) 2018/1725, l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 di tale regolamento, nonché il principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), di tale regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento, qualora l’esercizio di tali diritti e obblighi rischi di pregiudicare l’esecuzione dei compiti del responsabile della protezione dei dati, per esempio rivelandone gli strumenti e i metodi di indagine o revisione, o di ledere i diritti e le libertà di altri interessati.
            
            
               3.   Fatti salvi gli articoli da 18 a 22 della presente decisione, il Consiglio o l’SGC può limitare i diritti e gli obblighi di cui al paragrafo 2 in relazione ai dati personali che il responsabile della protezione dei dati ha ottenuto dalle direzioni generali o dai servizi dell’SGC o da altre istituzioni od organi dell’Unione. Il Consiglio o l’SGC può procedere in tal senso quando l’esercizio di detti diritti e obblighi potrebbe essere limitato da tali direzioni generali o da tali servizi dell’SGC o altre istituzioni o altri organi sulla base di altri atti di cui all’articolo 25 del regolamento (UE) 2018/1725 o conformemente al capo IX di detto regolamento oppure conformemente al regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio (10) o al regolamento (UE) 2017/1939 del Consiglio (11).
               Prima di applicare le limitazioni nei casi di cui al primo comma, il Consiglio o l’SGC consulta l’istituzione o l’organo pertinente dell’Unione, a meno che non risulti evidente che l’applicazione di una limitazione è prevista da uno degli atti di cui al suddetto comma.
            
            
               4.   Qualsiasi limitazione dei diritti e degli obblighi di cui al paragrafo 2è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà degli interessati.
            
         
         
            Articolo 18
            Comunicazione di informazioni agli interessati
            
               1.   L’SGC pubblica sul sito web del Consiglio informative sulla protezione dei dati per informare gli interessati riguardo ai compiti del responsabile della protezione dei dati che comportano il trattamento dei loro dati personali.
            
            
               2.   L’SGC informa individualmente, nella forma appropriata, qualsiasi persona fisica esso consideri una persona interessata dai compiti del responsabile della protezione dei dati.
            
            
               3.   Qualora limiti in tutto o in parte la comunicazione agli interessati delle informazioni di cui al paragrafo 2 del presente articolo, l’SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 21.
            
         
         
            Articolo 19
            Diritto di accesso degli interessati, diritto alla cancellazione e diritto di limitazione del trattamento
            
               1.   Se limita, in tutto o in parte, il diritto di accesso ai dati personali degli interessati, il diritto alla cancellazione o il diritto di limitazione del trattamento di cui, rispettivamente, agli articoli 17, 19 e 20 del regolamento (UE) 2018/1725, il Consiglio o l’SGC informa l’interessato, nella risposta a una richiesta di accesso, cancellazione o limitazione del trattamento, della limitazione applicata e dei suoi principali motivi, nonché della possibilità di proporre reclamo al GEPD o ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
            
            
               2.   La comunicazione delle informazioni sui motivi della limitazione di cui al paragrafo 1 può essere rinviata, omessa o negata fintantoché sussiste il rischio di compromettere la finalità della limitazione stessa. Il Consiglio fornisce tali informazioni all’interessato non appena non sussista più il rischio di compromettere tale finalità.
            
            
               3.   L’SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 21.
            
         
         
            Articolo 20
            Comunicazione di una violazione dei dati personali all’interessato
            Qualora il Consiglio o l’SGC limiti la comunicazione all’interessato di una violazione dei dati personali ai sensi dell’articolo 35 del regolamento (UE) 2018/1725, l’SGC registra i motivi della limitazione e conserva la registrazione in un registro conformemente all’articolo 21 della presente decisione.
         
         
            Articolo 21
            Registrazione delle limitazioni e conservazione in un registro
            
               1.   L’SGC registra i motivi di qualsiasi limitazione applicata a norma della presente decisione, compresa una valutazione caso per caso della relativa necessità e proporzionalità, tenuto conto degli elementi pertinenti di cui all’articolo 25, paragrafo 2, del regolamento (UE) 2018/1725.
               A tal fine la registrazione indica in che modo l’esercizio di uno dei diritti di cui agli articoli da 14 a 17, 19, 20 e 35 di tale regolamento, o del principio di trasparenza di cui al suo articolo 4, paragrafo 1, lettera a), rischia di pregiudicare le attività dell’RDP a norma della presente decisione o le limitazioni applicate ai sensi dell’articolo 17, paragrafi 2 o 3, della presente decisione, o di ledere i diritti e le libertà di altri interessati.
            
            
               2.   La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, questi sono messi a disposizione del garante europeo della protezione dei dati.
            
         
         
            Articolo 22
            Durata delle limitazioni
            
               1.   Le limitazioni di cui agli articoli 18, 19 e 20 continuano ad applicarsi finché sussistono i motivi che le giustificano.
            
            
               2.   Qualora i motivi della limitazione di cui agli articoli 18 e 20 non siano più applicabili, l’SGC revoca la limitazione e spiega i motivi della limitazione all’interessato. Nel contempo l’SGC informa l’interessato della possibilità di proporre in qualsiasi momento reclamo al garante europeo della protezione dei dati o ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.
            
            
               3.   L’SGC riesamina l’applicazione delle limitazioni di cui agli articoli 18 e 20 ogni sei mesi dopo la loro adozione e comunque all’atto dell’espletamento della pertinente funzione del responsabile della protezione dei dati. Una volta espletata tale funzione, l’SGC valuta su base annuale la necessità di mantenere eventuali limitazioni o rinvii.
            
         
         
            Articolo 23
            Riesame da parte del responsabile della protezione dei dati
            
               1.   Qualora altre direzioni generali o altri servizi dell’SGC concludano che i diritti dell’interessato debbano essere limitati a norma della presente decisione, ne informano il responsabile della protezione dei dati. Inoltre forniscono al responsabile della protezione dei dati l’accesso al registro e a tutti i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base. Il coinvolgimento dell’RPD nell’applicazione delle limitazioni è documentato in dettaglio.
            
            
               2.   Il responsabile della protezione dei dati può invitare il titolare del trattamento delegato interessato a riesaminare l’applicazione delle limitazioni. Il titolare del trattamento delegato interessato informa per iscritto il responsabile della protezione dei dati in merito all’esito del riesame richiesto.
            
         
         SEZIONE 6
         
            DISPOSIZIONI FINALI
         
         
            Articolo 24
            Abrogazione
            La decisione 2004/644/CE è abrogata.
         
         
            Articolo 25
            Entrata in vigore
            La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
         
         
            Fatto a Lussemburgo, il 28 giugno 2021
            
               
                  Per il Consiglio
               
               
                  Il presidente
               
               M. do C. ANTUNES
            
         
         
            (1)  GU L 295 del 21.11.2018, pag. 39.
         
            (2)  Parere del 6 aprile 2021 (non ancora pubblicato nella Gazzetta ufficiale).
         
            (3)  Regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all’accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione (GU L 145 del 31.5.2001, pag. 43).
         
            (4)  Decisione 2004/338/CE del Consiglio, del 22 marzo 2004, relativa all’adozione del suo regolamento interno (GU L 106 del 15.4.2004, pag. 22).
         
            (5)  Decisione 2013/488/UE del Consiglio, del 23 settembre 2013, sulle norme di sicurezza per proteggere le informazioni classificate UE (GU L 274 del 15.10.2013, pag. 1).
         
            (6)  Decisione del segretario generale del Consiglio/Alto rappresentante per la politica estera e di sicurezza comune del 25 giugno 2001 relativa a un codice di buona condotta amministrativa per il segretariato generale del Consiglio dell’Unione europea e il suo personale nelle loro relazioni professionali con il pubblico (GU C 189 del 5.7.2001, pag. 1).
         
            (7)  Decisione 2004/644/CE del Consiglio, del 13 settembre 2004, che adotta le norme d’attuazione relative al regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU L 296 del 21.9.2004, pag. 16).
         
            (8)  GU L 56 del 4.3.1968, pag. 1.
         
            (9)  Regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, del 18 luglio 2018, che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione, che modifica i regolamenti (UE) n. 1296/2013, (UE) n. 1301/2013, (UE) n. 1303/2013, (UE) n. 1304/2013, (UE) n. 1309/2013, (UE) n. 1316/2013, (UE) n. 223/2014, (UE) n. 283/2014 e la decisione n. 541/2014/UE e abroga il regolamento (UE, Euratom) n. 966/2012 (GU L 193 del 30.7.2018, pag. 1).
         
            (10)  Regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell’11 maggio 2016, che istituisce l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI (GU L 135 del 24.5.2016, pag. 53).
         
            (11)  Regolamento (UE) 2017/1939 del Consiglio, del 12 ottobre 2017, relativo all’attuazione di una cooperazione rafforzata sull’istituzione della Procura europea («EPPO») (GU L 283 del 31.10.2017, pag. 1).