CELEX: 32021Q0628(01)
Language: it
Date: 2021-04-19 00:00:00
Title: Decisione del consiglio di amministrazione sulle norme interne concernenti le limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito delle attività svolte dall’Agenzia europea dell’ambiente

28.6.2021   
               
               
                  IT
               
               
                  Gazzetta ufficiale dell’Unione europea
               
               
                  L 228/3
               
            
         Decisione del consiglio di amministrazione sulle norme interne concernenti le limitazioni di determinati diritti degli interessati in relazione al trattamento dei dati personali nell’ambito delle attività svolte dall’Agenzia europea dell’ambiente
         IL CONSIGLIO DI AMMINISTRAZIONE DELL’AGENZIA EUROPEA DELL’AMBIENTE,
         VISTO il trattato sul funzionamento dell’Unione europea,
         VISTO il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (1), in particolare l’articolo 25,
         VISTO il regolamento (CE) n. 401/2009 del Parlamento europeo e del Consiglio, del 23 aprile 2009, sull’Agenzia europea dell’ambiente e la rete europea d’informazione e di osservazione in materia ambientale (versione codificata) (2), in particolare l’articolo 8,
         VISTO il parere del Garante europeo della protezione dei dati (GEPD) del 13 marzo 2020 e gli orientamenti del GEPD sull’articolo 25 del regolamento (UE) 2018/1725 e le norme interne,
         previa consultazione del comitato del personale,
         CONSIDERANDO QUANTO SEGUE:
         
                     (1)
                  
                  
                     L’Agenzia europea dell’ambiente (di seguito «l’Agenzia») ha il potere di svolgere indagini amministrative e procedimenti predisciplinari, disciplinari e di sospensione conformemente allo statuto dei funzionari dell’Unione europea e al regime applicabile agli altri agenti dell’Unione europea, di cui al regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio (di seguito «lo statuto dei funzionari») (3), nonché alla decisione del consiglio di amministrazione dell’AEA, del 15 febbraio 2013, relativa allo svolgimento delle indagini amministrative e dei procedimenti disciplinari. Se necessario, l’Agenzia notifica anche i casi all’OLAF.
                  
               
                     (2)
                  
                  
                     I membri del personale dell’Agenzia hanno l’obbligo di comunicare le possibili attività illecite, comprese la frode e la corruzione, che sono lesive degli interessi dell’Unione. I membri del personale sono tenuti inoltre a segnalare una condotta in rapporto con l’esercizio di incarichi professionali che possa costituire una grave mancanza agli obblighi dei funzionari dell’Unione. Ciò è disciplinato dalla decisione del consiglio di amministrazione dell’AEA, del 24 aprile 2018, sugli orientamenti in materia di denunce di irregolarità (decisione EEA/MB/2018/011).
                  
               
                     (3)
                  
                  
                     L’Agenzia ha definito una politica per prevenire e gestire in modo efficace i casi reali o potenziali di molestie psicologiche o sessuali sul luogo di lavoro, come previsto dalla decisione del suo consiglio di amministrazione, del 13 giugno 2017, sulla politica dell’AEA in materia di tutela della dignità della persona e prevenzione di molestie psicologiche e sessuali (decisione EEA/MB/2017/011). La decisione definisce una procedura informale in base alla quale la presunta vittima di molestie può contattare consulenti «di fiducia» in seno all’Agenzia.
                  
               
                     (4)
                  
                  
                     L’Agenzia è soggetta ad audit sia interni sia esterni relativi alle sue attività.
                  
               
                     (5)
                  
                  
                     Nell’ambito di tali indagini amministrative, audit e indagini, l’Agenzia collabora con le altre istituzioni e gli altri organi e organismi dell’Unione.
                  
               
                     (6)
                  
                  
                     L’Agenzia può collaborare con le autorità nazionali dei paesi terzi e con organizzazioni internazionali, su loro richiesta o di propria iniziativa.
                  
               
                     (7)
                  
                  
                     L’Agenzia può collaborare anche con le autorità pubbliche degli Stati membri dell’UE, su loro richiesta o di propria iniziativa.
                  
               
                     (8)
                  
                  
                     L’Agenzia è coinvolta nelle cause dinanzi alla Corte di giustizia dell’Unione europea per adire la stessa Corte o per difendere le proprie decisioni impugnate dinanzi alla Corte o, ancora, intervenire nei casi pertinenti ai propri compiti. In tale contesto l’Agenzia potrebbe avere la necessità di salvaguardare la riservatezza dei dati personali contenuti nei documenti ottenuti dalle parti o dagli intervenienti.
                  
               
                     (9)
                  
                  
                     Per espletare le proprie mansioni, l’Agenzia raccoglie ed elabora informazioni e varie categorie di dati personali, tra cui i dati identificativi di persone fisiche, i recapiti, i ruoli e i compiti professionali, le informazioni relative a comportamenti e prestazioni nell’ambito privato e professionale, nonché i dati finanziari. L’Agenzia funge da titolare del trattamento.
                  
               
                     (10)
                  
                  
                     A norma del regolamento (UE) 2018/1725 (di seguito «il regolamento») l’Agenzia è pertanto tenuta a fornire informazioni agli interessati in relazione alle suddette attività di trattamento e a rispettare i loro diritti in qualità di interessati.
                  
               
                     (11)
                  
                  
                     L’Agenzia potrebbe essere tenuta a conciliare tali diritti con gli obiettivi delle indagini amministrative, degli audit, delle indagini e dei procedimenti giudiziari. Può essere necessario conciliare i diritti di un interessato con i diritti e le libertà fondamentali di altri interessati. A tal fine, l’articolo 25 del regolamento prevede che l’Agenzia possa limitare, a condizioni rigorose, l’applicazione degli articoli da 14 a 22, degli articoli 35 e 36 nonché dell’articolo 4 del regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20. Fatta eccezione per i casi in cui le limitazioni siano previste da un atto giuridico adottato in virtù dei trattati, è necessaria l’adozione di norme interne che autorizzino l’Agenzia a limitare tali diritti.
                  
               
                     (12)
                  
                  
                     L’Agenzia potrebbe, ad esempio, avere la necessità di limitare le informazioni che fornisce a un interessato sul trattamento dei suoi dati personali nella fase di valutazione preliminare di un’indagine amministrativa o durante l’indagine stessa, prima di un’eventuale archiviazione del caso, o nella fase predisciplinare. In determinate circostanze, fornire tali informazioni potrebbe seriamente compromettere la facoltà dell’Agenzia di condurre un’indagine efficace, ad esempio ogniqualvolta sussista il rischio che la persona in questione possa distruggere prove o interferire con potenziali testimoni prima che essi siano ascoltati. L’Agenzia potrebbe inoltre avere la necessità di tutelare i diritti e le libertà dei testimoni nonché quelli di altre persone coinvolte.
                  
               
                     (13)
                  
                  
                     Potrebbe essere necessario tutelare l’anonimato di un testimone o di un informatore che abbia chiesto di non essere identificato. In tal caso, l’Agenzia potrebbe decidere di limitare l’accesso all’identità, alle dichiarazioni e agli altri dati personali di dette persone al fine di tutelarne i diritti e le libertà.
                  
               
                     (14)
                  
                  
                     Potrebbe essere necessario tutelare le informazioni riservate riguardanti un membro del personale che ha contattato i consulenti di fiducia dell’Agenzia nell’ambito di una procedura per molestie. In tali casi, l’Agenzia potrebbe avere la necessità di limitare l’accesso all’identità, alle dichiarazioni e ad altri dati personali della presunta vittima, del presunto autore delle molestie e di altre persone coinvolte, al fine di tutelare i diritti e le libertà di tutte le persone interessate.
                  
               
                     (15)
                  
                  
                     L’Agenzia dovrebbe applicare le limitazioni solo se rispettano l’essenza dei diritti e delle libertà fondamentali, sono strettamente necessarie e costituiscono una misura proporzionata in una società democratica. L’Agenzia dovrebbe spiegare la motivazione di tali limitazioni.
                  
               
                     (16)
                  
                  
                     Conformemente al principio di responsabilità, l’Agenzia dovrebbe tenere un registro delle limitazioni che ha applicato.
                  
               
                     (17)
                  
                  
                     In sede di trattamento dei dati personali scambiati con altre organizzazioni nell’ambito dei propri compiti, l’Agenzia e tali organizzazioni dovrebbero consultarsi in merito ai potenziali motivi per l’imposizione di limitazioni e alla necessità e proporzionalità delle stesse, salvo che ciò pregiudichi le attività dell’Agenzia.
                  
               
                     (18)
                  
                  
                     L’articolo 25, paragrafo 6, del regolamento impone al titolare del trattamento l’obbligo di informare gli interessati dei principali motivi della limitazione e del loro diritto di proporre reclamo al GEPD.
                  
               
                     (19)
                  
                  
                     A norma dell’articolo 25, paragrafo 8, del regolamento, l’Agenzia ha il diritto di rinviare, omettere o negare la comunicazione all’interessato delle informazioni sui motivi dell’applicazione di una limitazione qualora tale comunicazione annulli, in qualsiasi modo, l’effetto della limitazione stessa. L’Agenzia dovrebbe valutare caso per caso se la comunicazione della limitazione ne annullerebbe l’effetto.
                  
               
                     (20)
                  
                  
                     L’Agenzia dovrebbe revocare la limitazione non appena cessino di sussistere le condizioni che la giustificano, nonché valutare periodicamente tali condizioni.
                  
               
                     (21)
                  
                  
                     Per garantire la massima tutela dei diritti e delle libertà degli interessati e in conformità dell’articolo 44, paragrafo 1, del regolamento, il responsabile della protezione dei dati (RPD) dovrebbe essere consultato a tempo debito in merito alle eventuali limitazioni applicabili e dovrebbe verificarne la conformità alla presente decisione.
                  
               
                     (22)
                  
                  
                     L’articolo 16, paragrafo 5, e l’articolo 17, paragrafo 4, del regolamento prevedono deroghe al diritto di informazione e al diritto di accesso degli interessati. In caso di applicazione di tali deroghe, l’Agenzia non è tenuta ad applicare una limitazione ai sensi della presente decisione,
                  
               HA ADOTTATO LA PRESENTE DECISIONE:
         
            Articolo 1
            Oggetto e ambito di applicazione
            
               1.   La presente decisione definisce le norme relative alle condizioni alle quali l’Agenzia può limitare l’applicazione dell’articolo 4, degli articoli da 14 a 22, nonché 35 e 36, ai sensi dell’articolo 25 del regolamento.
            
            
               2.   In qualità di titolare del trattamento, l’Agenzia è rappresentata dal direttore esecutivo, il quale può delegare il ruolo di titolare del trattamento a un’altra persona all’interno dell’Agenzia al fine di tenere conto delle responsabilità operative per specifiche operazioni di trattamento dei dati personali.
            
         
         
            Articolo 2
            Limitazioni
            
               1.   L’Agenzia può limitare l’applicazione degli articoli da 14 a 22, degli articoli 35 e 36 nonché dell’articolo 4 del regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20:
               
                           a)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettere b), c), f), g) e h), del regolamento, quando svolge indagini amministrative, procedimenti predisciplinari, disciplinari o di sospensione ai sensi dell’articolo 86 e dell’allegato IX dello statuto dei funzionari nonché della decisione del proprio consiglio di amministrazione, del 15 febbraio 2013, sull’esecuzione di indagini amministrative e procedimenti disciplinari, quando tratta reclami interni ed esterni e quando notifica casi all’OLAF;
                        
                     
                           b)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettera h), del regolamento, quando garantisce che i membri del proprio personale possano segnalare fatti in via riservata qualora ritengano che sussistano gravi irregolarità, come disciplinato dalla decisione del consiglio di amministrazione dell’AEA, del 24 aprile 2018, sugli orientamenti in materia di denunce di irregolarità (decisione EEA/MB/2018/011);
                        
                     
                           c)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettera h), del regolamento, quando garantisce che i membri del proprio personale possano effettuare segnalazioni ai consulenti di fiducia nell’ambito di un procedimento per molestie (formale o informale) ai sensi della decisione del suo consiglio di amministrazione, del 13 giugno 2017, sulla politica dell’AEA in materia di tutela della dignità della persona e prevenzione di molestie psicologiche e sessuali (decisione EEA/MB/2017/011);
                        
                     
                           d)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento, quando esegue audit interni relativi alle proprie attività o ai propri dipartimenti, comprese le indagini condotte dal responsabile della protezione dei dati ai sensi dell’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725 e le indagini sulla sicurezza (informatica) gestite internamente o con il coinvolgimento di soggetti esterni (ad esempio CERT-EU);
                        
                     
                           e)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettere c), d), g) e h), del regolamento, quando fornisce o riceve assistenza o cooperazione a o da altre istituzioni e altri organi e organismi dell’Unione nel contesto delle attività di cui alle lettere da a) a d) del presente paragrafo e ai sensi dei pertinenti accordi sul livello dei servizi, memorandum d’intesa e accordi di cooperazione;
                        
                     
                           f)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento, quando fornisce o riceve assistenza e cooperazione a e da autorità nazionali di paesi terzi e organizzazioni internazionali, su loro richiesta o di propria iniziativa;
                        
                     
                           g)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettere c), g) e h), del regolamento, quando fornisce o riceve assistenza e cooperazione a e da autorità pubbliche degli Stati membri dell’UE, su loro richiesta o di propria iniziativa;
                        
                     
                           h)
                        
                        
                           a norma dell’articolo 25, paragrafo 1, lettera e), del regolamento, quando tratta i dati personali in documenti ottenuti dalle parti o dagli intervenienti nel contesto di procedimenti dinanzi alla Corte di giustizia dell’Unione europea.
                        
                     
                           i)
                        
                        
                           Eventuali limitazioni rispettano l’essenza dei diritti e delle libertà fondamentali e rappresentano una misura necessaria e proporzionata in una società democratica.
                        
                     
            
               2.   Prima dell’applicazione di eventuali limitazioni è effettuata, caso per caso, una verifica della necessità e della proporzionalità della misura. Le limitazioni sono circoscritte a quanto strettamente necessario per conseguire i loro obiettivi.
            
            
               3.   L’Agenzia redige, a fini di rendicontazione, un resoconto contenente le motivazioni alla base delle limitazioni applicate, i motivi compresi tra quelli elencati al paragrafo 1 che trovano applicazione nonché l’esito della verifica della necessità e della proporzionalità. Tali resoconti fanno parte di un registro, che deve essere messo a disposizione del GEPD su richiesta. L’Agenzia elabora relazioni periodiche sull’applicazione dell’articolo 25 del regolamento.
            
            
               4.   In sede di trattamento dei dati personali ricevuti da altre organizzazioni nell’ambito dei propri compiti, l’Agenzia consulta tali organizzazioni su potenziali motivi per l’imposizione di limitazioni e sulla necessità e proporzionalità delle stesse, salvo che ciò pregiudichi le proprie attività.
            
            
               5.   Le categorie di dati interessate sono i dati controllati (dati «oggettivi», quali dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e/o dati non controllati (dati «soggettivi» riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all’oggetto del procedimento o dell’attività).
            
         
         
            Articolo 3
            Rischi per i diritti e le libertà degli interessati
            
               1.   Le valutazioni dei rischi per i diritti e le libertà degli interessati derivanti dall’imposizione di limitazioni e i dettagli del periodo di applicazione di tali limitazioni sono riportati nel registro delle attività di trattamento tenuto dall’Agenzia a norma dell’articolo 31 del regolamento. Tali elementi sono inoltre riportati nelle valutazioni d’impatto sulla protezione dei dati relative a tali limitazioni effettuate ai sensi dell’articolo 39 del regolamento.
            
            
               2.   Ogniqualvolta valuta la necessità e la proporzionalità di una limitazione, l’Agenzia considera i potenziali rischi per i diritti e le libertà dell’interessato.
            
         
         
            Articolo 4
            Periodi di conservazione e garanzie
            
               1.   L’Agenzia mette in atto garanzie per prevenire abusi e l’accesso o il trasferimento illeciti dei dati personali che sono o possono essere soggetti a limitazioni. Tali garanzie, che includono misure tecniche e organizzative, sono specificate, ove necessario, nelle decisioni, procedure e norme di attuazione interne dell’Agenzia. Tra le garanzie figurano:
               
                           a)
                        
                        
                           una definizione chiara dei ruoli, delle responsabilità e delle fasi procedurali;
                        
                     
                           b)
                        
                        
                           un ambiente elettronico sicuro in grado di impedire l’accesso o il trasferimento illeciti e accidentali dei dati elettronici a persone non autorizzate, la conservazione di tutti i dati elettronici in un’applicazione informatica sicura conformemente agli standard di sicurezza dell’Agenzia e in specifiche cartelle elettroniche accessibili unicamente al personale autorizzato, nonché la concessione di appropriati livelli di accesso su base individuale;
                        
                     
                           c)
                        
                        
                           la conservazione e il trattamento sicuri dei documenti cartacei e la loro archiviazione in armadi protetti e accessibili soltanto al personale autorizzato;
                        
                     
                           d)
                        
                        
                           il debito monitoraggio delle limitazioni e una revisione periodica della loro applicazione.
                        
                     
            
               2.   Le revisioni di cui alla lettera d) sono effettuate almeno ogni sei mesi.
            
            
               3.   Le limitazioni sono revocate non appena cessino di sussistere le condizioni che le giustificano.
            
            
               4.   I dati personali sono conservati conformemente alle norme dell’Agenzia applicabili in materia di conservazione, da definire nei registri relativi alla protezione dei dati tenuti a norma dell’articolo 31 del regolamento. Al termine del periodo di conservazione i dati personali sono cancellati, resi anonimi o trasferiti agli archivi ai sensi dell’articolo 13 del regolamento.
            
         
         
            Articolo 5
            Coinvolgimento del responsabile della protezione dei dati
            
               1.   L’RPD dell’Agenzia è informato senza indebito ritardo ogniqualvolta i diritti dell’interessato siano sottoposti a limitazioni in conformità della presente decisione. All’RPD è accordato l’accesso ai relativi registri e a tutti i documenti riguardanti la situazione di fatto o di diritto.
            
            
               2.   L’RPD dell’Agenzia può chiedere il riesame dell’applicazione di una limitazione. L’Agenzia informa per iscritto il proprio RPD circa l’esito del riesame.
            
            
               3.   L’Agenzia documenta la partecipazione dell’RPD all’applicazione delle limitazioni, comprese le informazioni che sono state condivise con l’RPD.
            
         
         
            Articolo 6
            Informazione degli interessati in merito alle limitazioni dei loro diritti
            
               1.   Nelle comunicazioni sulla protezione dei dati pubblicate nella propria intranet, l’Agenzia include una sezione relativa alle informazioni generali a uso degli interessati sulle potenziali limitazioni dei loro diritti a norma dell’articolo 2, paragrafo 1. Tali informazioni riguardano i diritti che possono essere oggetto di limitazioni, i motivi per cui possono essere applicate tali limitazioni e la durata potenziale delle stesse.
            
            
               2.   L’Agenzia comunica ai singoli interessati, senza indebito ritardo e per iscritto, le limitazioni presenti o future dei loro diritti. L’Agenzia comunica agli interessati i principali motivi alla base dell’applicazione della limitazione, il loro diritto di consultare l’RPD per impugnare la limitazione e il loro diritto di proporre reclamo al GEPD.
            
            
               3.   L’Agenzia può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e del diritto di proporre reclamo al GEPD soltanto fino a quando tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso. L’Agenzia provvede a fornire le informazioni all’interessato non appena l’effetto della limitazione non possa più essere annullato.
            
         
         
            Articolo 7
            Comunicazione di una violazione dei dati personali all’interessato
            
               1.   Qualora sia tenuta a comunicare una violazione dei dati personali a norma dell’articolo 35, paragrafo 1, del regolamento, l’Agenzia può, in circostanze eccezionali, limitare tale comunicazione in tutto o in parte. L’Agenzia documenta in una nota i motivi della limitazione, la sua base giuridica ai sensi dell’articolo 2 e una valutazione della sua necessità e proporzionalità. La nota è trasmessa al GEPD al momento della notifica della violazione dei dati personali.
            
            
               2.   Qualora cessino di sussistere i motivi della limitazione, l’Agenzia comunica la violazione dei dati personali all’interessato e lo informa in merito ai principali motivi della limitazione e al suo diritto di proporre reclamo al GEPD.
            
         
         
            Articolo 8
            Riservatezza delle comunicazioni elettroniche
            
               1.   In circostanze eccezionali l’Agenzia può limitare il diritto alla riservatezza delle comunicazioni elettroniche di cui all’articolo 36 del regolamento. Tali limitazioni sono conformi alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio (4).
            
            
               2.   Qualora limiti il diritto alla riservatezza delle comunicazioni elettroniche, l’Agenzia comunica all’interessato i principali motivi alla base dell’applicazione della limitazione e il suo diritto di proporre reclamo al GEPD.
            
            
               3.   L’Agenzia può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e del diritto di proporre reclamo al GEPD soltanto fino a quando tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso.
            
         
         
            Articolo 9
            Entrata in vigore
            La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
         
         
            Approvata dal consiglio di amministrazione con procedura scritta,
            19 aprile 2021
            
               Laura BURKE
               
                  Presidente del consiglio di amministrazione dell’AEA
               
            
         
         
            (1)  () GU L 295 del 21.11.2018, pag. 39.
         
            (2)  () GU L 126 del 21.5.2009, pag. 13.
         
            (3)  () Regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio, del 29 febbraio 1968, che definisce lo statuto dei funzionari delle Comunità europee nonché il regime applicabile agli altri agenti di tali Comunità, ed istituisce speciali misure applicabili temporaneamente ai funzionari della Commissione (GU L 56 del 4.3.1968, pag. 1).
         
            (4)  Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37).