Decisione (UE) 2022/2359 della Banca centrale europea del 22 novembre 2022 che adotta norme interne relative alle limitazioni dei diritti degli interessati in relazione al funzionamento interno della Banca centrale europea (BCE/2022/42)

In vigoreVersione 2022-11-22dal 2022-12-22

Grado B

mappato dal markup dell’editore. Il grado indica come è stata ottenuta la struttura di un documento, non quanto sia affidabile la legge.

Chiedi a Gelex di questa legge

Indirizzo https://gelex.eu/eli/EU/act/2022/2359@2022-11-22/it

Indice

Preambolo
1. Articolo 1 Oggetto e ambito di applicazione
2. Articolo 2 Definizioni
3. Articolo 3 Applicazione delle limitazioni
4. Articolo 4 Comunicazione di informazioni generali sulle limitazioni
5. Articolo 5 Limitazione del diritto di accesso degli interessati, del diritto di rettifica, del diritto di cancellazione o di limitazione del trattamento
6. Articolo 6 Durata delle limitazioni
7. Articolo 7 Garanzie
8. Articolo 8 Riesame da parte del DPO
9. Articolo 9 Entrata in vigore
ANNEX
ALLEGATO I Valutazione e segnalazione di eventuali violazioni dei doveri professionali e, se necessario, l’indagine e il seguito successivi
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
ALLEGATO II Procedure informali e/o formali in materia di dignità sul posto di lavoro, compreso l’esame dei casi che possono sfociare in una procedura di cui alla parte 0.5 delle norme sul personale della BCE
a)
b)
c)
d)
e)
f)
g)
h)
i)
ALLEGATO III Lo svolgimento delle funzioni della DG/HR ai sensi del quadro giuridico che disciplina l’impiego presso la BCE
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
ALLEGATO IV Esame dei ricorsi interni e seguito datovi
a)
b)
c)
d)
e)
f)
g)
h)
i)
ALLEGATO V La segnalazione di qualsiasi attività illecita o violazione dei doveri professionali presentata tramite qualsiasi canale, anche attraverso lo strumento della BCE per la segnalazione whistleblowing o la valutazione da parte dell’Ufficio di conformità e governance delle richieste di protezione degli informatori o dei testimoni
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
ALLEGATO VI Attività del CGO ai sensi delle norme sul personale della BCE
a)
b)
c)
d)
e)
f)
g)
h)
ALLEGATO VII Verifiche effettuate dalla direzione Revisione interna e attività di indagine o indagini amministrative interne
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
n)
o)
p)
ALLEGATO VIII Lo svolgimento delle funzioni della BCE ai sensi della decisione (UE) 2016/456 (BCE/2016/3)
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
ALLEGATO IX Indagini svolte dal DPO ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28)
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
ALLEGATO X Indagini volte a garantire la sicurezza fisica presso la BCE di persone, locali e beni, la raccolta di informazioni sulle minacce e l’analisi degli incidenti di sicurezza
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
ALLEGATO XI Procedimenti giudiziari
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
ALLEGATO XII La cooperazione tra la BCE e le autorità nazionali responsabili delle indagini penali, l’EPPO e gli organi dell’UE che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta la BCE
a)
b)
c)
d)
e)
f)
g)
h)
i)
j)
k)
l)
m)
n)
o)
ALLEGATO XIII Lo svolgimento dei compiti del mediatore
a)
b)
c)
d)
e)
f)
g)
h)
ALLEGATO XIV Prestazione di servizi di consulenza da parte del consulente sociale
a)
b)
c)
d)
e)
f)
g)
h)
ALLEGATO XV
i)
ii)
iii)
iv)
v)
vi)

IL COMITATO ESECUTIVO DELLA BANCA CENTRALE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea,

visto lo statuto del Sistema europeo di banche centrali e della Banca centrale europea, in particolare l’articolo 11.6,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE, in particolare l’articolo 25,

considerando quanto segue:

(1) La Banca centrale europea (BCE) assolve i suoi compiti in conformità ai trattati.

(2) In conformità all’articolo 45, paragrafo 3, del regolamento (UE) 2018/1725, la decisione (UE) 2020/655 della Banca centrale europea (BCE/2020/28) stabilisce le norme generali di attuazione del regolamento (UE) 2018/1725 per quanto riguarda la BCE. Specifica in particolare le norme relative alla nomina e al ruolo del responsabile della protezione dei dati (Data Protection Officer, DPO) della BCE, tra cui le funzioni, i doveri e le competenze dello stesso.

(3) Nell’assolvimento dei compiti ad essa conferiti, la BCE, e in particolare l’unità organizzativa interessata, agisce in qualità di responsabile del trattamento dei dati nella misura in cui essa determina, da sola o insieme ad altri, le finalità e i mezzi del trattamento dei dati personali.

(4) In relazione al funzionamento interno della BCE, sono assegnati compiti a varie unità operative della BCE [tra cui la direzione generale Risorse umane (DG/HR), l’Ufficio di conformità e governance (CGO), la direzione Revisione interna (D/IA) e la direzione generale Servizi legali (DG/L)], nell’ambito del quadro giuridico che disciplina l’impiego presso la BCE, che comportano il trattamento dei dati personali. Tali compiti potrebbero comprendere, ad esempio, azioni intraprese in relazione a potenziali violazioni di doveri professionali (incluse indagini relative a comportamenti inappropriati ai sensi della politica della BCE in materia di dignità sul posto di lavoro e il seguito dato alla segnalazione di eventuali attività illecite o violazioni dei doveri professionali inviata tramite qualsiasi canale, incluso tra gli altri , lo strumento per la segnalazione whistleblowing della BCE); compiti relativi alle procedure di selezione; compiti svolti dalla DG/HR nell’assolvimento delle proprie funzioni in relazione a: gestione delle prestazioni, promozione e nomina diretta del personale della BCE, sviluppo professionale, compresa la mappatura ragionata dei talenti (Calibrations of talent) in seno alle unità operative e tra di esse, aumenti salariali e bonus e decisioni in materia di mobilità e di congedi; l’esame dei ricorsi interni promossi dal personale della BCE (anche tramite riesame amministrativo, procedure di reclamo, procedure speciali di ricorso o commissioni mediche) e il seguito datovi; i compiti consultivi del CGO in base al quadro etico della BCE (stabiliti nella parte 0 delle norme sul personale della BCE) e i compiti del CGO relativi al monitoraggio a fini di conformità delle operazioni finanziarie private (inclusa la cooperazione con qualsiasi fornitore di servizi esterno nominato ai sensi dell’articolo 0.4.3.3 delle norme sul personale della BCE); e gli audit effettuati dalla D/IA e i compiti svolti nel contesto della circolare amministrativa 01/2006 sulle indagini amministrative interne nello svolgimento di attività di indagine e di indagini amministrative in situazioni che possono presentare eventuali profili disciplinari riguardante il personale della BCE (inclusi i compiti delle persone che svolgono l’indagine o dei membri della commissione di indagine qualora siano tenuti a raccogliere prove e accertare i fatti rilevanti).

(5) Ai sensi della decisione (UE) 2016/456 della Banca centrale europea (BCE/2016/3), la BCE deve trasmettere all’Ufficio europeo per la lotta antifrode, su richiesta di quest’ultimo o di propria iniziativa, informazioni in suo possesso che facciano sospettare l’esistenza di eventuali casi di frode, corruzione o di ogni altra attività illecita lesiva degli interessi finanziari dell’Unione. La decisione (UE) 2016/456 (BCE/2016/3) dispone che in tal caso gli interessati siano informati rapidamente, qualora ciò non pregiudichi l’indagine, e che, ad ogni modo, non possono trarsi conclusioni che riguardino personalmente gli interessati, senza aver dato modo agli interessati di esprimersi su tutti i fatti che li riguardano, compresa ogni prova esistente contro di essi.

(6) Ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28), il DPO deve indagare su questioni e incidenti relativi alla protezione dei dati, di propria iniziativa o su richiesta della BCE.

(7) La divisione protezione e sicurezza in seno alla direzione amministrazione è responsabile della conduzione di indagini volte a garantire la protezione della sicurezza fisica presso la BCE di persone, locali e beni, della raccolta di informazioni sulle minacce e dell’analisi degli incidenti di sicurezza.

(8) La BCE ha il dovere di cooperare lealmente con le autorità nazionali, comprese le autorità nazionali responsabili delle indagini penali. In particolare, ai sensi della decisione (UE) 2016/1162 della Banca centrale europea (BCE/2016/19), su richiesta di un’autorità nazionale responsabile delle indagini penali, la BCE può fornire informazioni riservate in suo possesso connesse ai compiti conferiti alla BCE dal regolamento (UE) n. 1024/2013 del Consiglio o ad altri compiti connessi al SEBC o all’Eurosistema, rispettivamente a una ANC o a una BCN ai fini della comunicazione all’autorità nazionale responsabile delle indagini penali in questione a determinate condizioni.

(9) Ai sensi del regolamento (UE) 2017/1939 del Consiglio, la BCE deve comunicare senza indugio eventuali informazioni alla Procura europea (European Public Prosecutor’s Office, EPPO) qualora sia stato individuato un presunto reato di sua competenza.

(10) La BCE deve cooperare con gli organi dell’Unione che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta, quali il Garante europeo della protezione dei dati, la Corte dei conti europea e il Mediatore europeo, nello svolgimento dei rispettivi compiti. In tale contesto, la BCE può trattare dati personali per essere in grado di rispondere a richieste, consultarsi con tali organi e fornire loro informazioni.

(11) Ai sensi del quadro interno per la risoluzione delle controversie della BCE, il personale della BCE può contattare un mediatore in qualsiasi momento e con qualsiasi mezzo per chiedere il sostegno del mediatore nella risoluzione o nella prevenzione di una controversia di natura professionale. Tale quadro prevede che tutte le comunicazioni con il mediatore siano tutelate dalla riservatezza. Tutto ciò che è menzionato nel corso del procedimento di mediazione è considerato privilegiato e ciascuna parte coinvolta nella mediazione deve utilizzare tali informazioni esclusivamente ai fini del procedimento di mediazione, fatti salvi eventuali procedimenti giudiziari. In via eccezionale, il mediatore può comunicare informazioni laddove appaia necessario per prevenire un rischio imminente di danno grave all’integrità fisica o mentale di una persona.

(12) La BCE si adopera per garantire condizioni di lavoro che tutelino la salute e la sicurezza del proprio personale e ne rispettino la dignità sul posto di lavoro, fornendo servizi di consulenza per sostenere il personale. Il personale della BCE può richiedere i servizi di un consulente sociale in relazione a qualsiasi questione, comprese questioni emotive, personali e professionali. Il consulente sociale non può avere accesso al fascicolo personale di un membro del personale della BCE, salvo espressa autorizzazione di quest’ultimo. Non possono essere comunicate informazioni ricevute o dichiarazioni rese da un soggetto al consulente sociale, a meno che la comunicazione non sia esplicitamente autorizzata da tale soggetto o imposta dalla legge.

(13) In relazione al suo funzionamento interno, la BCE tratta diverse categorie di dati che possono essere collegati a una persona fisica identificata o identificabile. Gli elenchi non esaustivi di tali categorie di dati personali trattati dalla BCE in relazione al suo funzionamento interno figurano negli allegati della presente decisione. I dati personali potrebbero anche far parte di una valutazione, che include una valutazione condotta dall’unità operativa responsabile in relazione alla questione oggetto di esame, tra cui, ad esempio, una valutazione da parte delle DG/HR, DG/L, D/IA o da parte di un comitato disciplinare o di una commissione d’inchiesta in merito a una violazione dei doveri professionali.

(14) Nell’ambito dei considerando da 4 a 13, è opportuno precisare i motivi per i quali la BCE può limitare i diritti degli interessati.

(15) L’obiettivo della BCE nell’assolvimento dei propri compiti è perseguire importanti obiettivi di interesse pubblico generale dell’Unione. Pertanto, è opportuno che l’assolvimento di tali compiti sia salvaguardato come previsto dal regolamento (UE) 2018/1725, in particolare l’articolo 25, paragrafo 1, lettere b), c), d), f), g) e h).

(16) In conformità all’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, le limitazioni all’applicazione degli articoli da 14 a 22, 35 e 36 e, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22, dell’articolo 4 di tale regolamento dovrebbero essere stabilite in norme interne o in atti giuridici adottati sulla base dei trattati. Di conseguenza, la BCE dovrebbe stabilire le norme in base alle quali può limitare i diritti degli interessati nello svolgimento dei suoi compiti.

(17) La BCE dovrebbe spiegare il motivo per cui tali limitazioni dei diritti degli interessati siano strettamente necessarie e proporzionate in una società democratica per salvaguardare gli obiettivi perseguiti nell’esercizio dei propri pubblici poteri e delle funzioni ad essi collegate, nonché il modo in cui la BCE rispetta l’essenza dei diritti e delle libertà fondamentali imponendo nel contempo limitazioni di questo tipo.

(18) In tale contesto, la BCE è tenuta a rispettare, nella misura più ampia possibile, i diritti fondamentali degli interessati, in particolare quelli relativi al diritto di informazione, accesso e rettifica, al diritto alla cancellazione, alla limitazione del trattamento, al diritto di comunicazione di una violazione dei dati personali all’interessato o alla riservatezza delle comunicazioni di cui al regolamento (UE) 2018/1725.

(19) Tuttavia, la BCE può essere obbligata a limitare le informazioni fornite agli interessati e i diritti di altri interessati per tutelare l’assolvimento dei propri compiti, in particolare i propri accertamenti e le proprie procedure, gli accertamenti e le procedure di altre autorità pubbliche e i diritti e le libertà fondamentali di altre persone connesse ai propri accertamenti o ad altre procedure.

(20) La BCE dovrebbe revocare una limitazione già applicata nella misura in cui non sia più necessaria.

(21) Il DPO dovrebbe riesaminare l’applicazione delle limitazioni al fine di garantire la conformità alla presente decisione e al regolamento (UE) 2018/1725.

(22) Sebbene la presente decisione stabilisca le norme in base alle quali la BCE può limitare i diritti degli interessati quando tratta dati personali in relazione al suo funzionamento interno, il Comitato esecutivo ha adottato una decisione separata che adotta norme interne relative alla limitazione dei diritti nello svolgimento dei suoi compiti di vigilanza.

(23) La BCE può applicare un’eccezione ai sensi del regolamento (UE) 2018/1725 rendendo inutile prendere in considerazione una limitazione, incluse in particolare quelle di cui agli articoli 15, paragrafo 4, 16, paragrafo 5, 19, paragrafo 3, e 35, paragrafo 3, di tale regolamento.

(24) Le deroghe ai diritti degli interessati di cui agli articoli 17, 18, 20, 21, 22 e 23 del regolamento (UE) 2018/1725 a fini di archiviazione nel pubblico interesse possono essere previste nelle norme interne o negli atti giuridici adottati dalla BCE sulla base dei trattati in relazione alla sua archiviazione, fatte salve le condizioni e le garanzie richieste in conformità all’articolo 25, paragrafo 4, del regolamento (UE) 2018/1725.

(25) Il Garante europeo della protezione dei dati è stato consultato in conformità all’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725 e ha emesso un parere il 12 marzo 2021.

(26) Il Comitato del personale è stato consultato,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1 Oggetto e ambito di applicazione

1. La presente decisione stabilisce le norme relative alla limitazione dei diritti degli interessati da parte della BCE quando esercita attività di trattamento dei dati personali come annotate nel registro centrale in relazione al proprio funzionamento interno.

2. I diritti degli interessati che possono essere limitati sono precisati nei seguenti articoli del regolamento (UE) 2018/1725:

a) articolo 14 (informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato);

b) articolo 15 (informazioni da fornire qualora i dati personali siano raccolti presso l’interessato);

c) articolo 16 (informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato);

d) articolo 17 (diritto di accesso dell’interessato);

e) articolo 18 (diritto di rettifica);

f) articolo 19 [diritto alla cancellazione (diritto all’oblio)];

g) articolo 20 (diritto di limitazione del trattamento);

h) articolo 21 (obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento);

i) articolo 22 (diritto alla portabilità dei dati);

j) articolo 35 (comunicazione di una violazione dei dati personali all’interessato);

k) articolo 36 (riservatezza delle comunicazioni elettroniche);

l) articolo 4, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi previsti negli articoli da 14 a 22 del regolamento (UE) 2018/1725.

Articolo 2 Definizioni

Ai fini della presente decisione si applicano le seguenti definizioni:

1) per trattamento si intende il trattamento ai sensi dell’articolo 3, punto 3), del regolamento (UE) 2018/1725;

2) per dati personali si intendono i dati personali ai sensi dell’articolo 3, punto 1), del regolamento (UE) 2018/1725;

3) per interessato si intende una persona fisica identificata o identificabile; si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare con riferimento a un identificativo quale un nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale di tale persona fisica;

4) per registro centrale si intende il repertorio di tutte le attività di trattamento dei dati personali svolte presso la BCE accessibile al pubblico, tenuto dal DPO e disciplinato all’articolo 9 della decisione (UE) 2020/655 (BCE/2020/28);

5) per titolare del trattamento si intende la BCE, in particolare l’unità organizzativa competente interna alla BCE che, singolarmente o insieme ad altre, determina le finalità e i mezzi del trattamento di dati personali e che è responsabile delle operazioni di trattamento;

6) per istituzioni e organi dell’Unione si intendono le istituzioni e gli organi dell’Unione ai sensi dell’articolo 3, punto 10), del regolamento (UE) 2018/1725.

Articolo 3 Applicazione delle limitazioni

1. Per le attività di trattamento dei dati personali di cui all’articolo 1, paragrafo 1, il titolare del trattamento può limitare i diritti di cui all’articolo 1, paragrafo 2, per salvaguardare gli interessi e gli obiettivi di cui all’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, qualora l’esercizio di tali diritti ponga a rischio uno dei seguenti elementi: Le categorie di dati personali in relazione ai quali le limitazioni di cui al paragrafo 1 possono essere applicate sono precisate negli allegati da I a XIV alla presente decisione.

a) la valutazione e la segnalazione di eventuali violazioni dei doveri professionali e, se necessario, l’indagine e il seguito successivi, compresa la sospensione dalle funzioni, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725.

b) le procedure informali e/o formali in materia di dignità sul posto di lavoro, compreso l’esame dei casi che possono sfociare in una procedura di cui alla parte 0.5 delle norme sul personale della BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

c) il corretto svolgimento delle funzioni della DG/HR ai sensi del quadro giuridico che disciplina l’impiego presso la BCE in relazione alla gestione delle prestazioni, alle procedure di promozione o alla nomina diretta del personale della BCE, alle procedure di selezione e allo sviluppo professionale, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere c) e/o h), del regolamento (UE) 2018/1725;

d) l’esame dei ricorsi interni proposti dal personale della BCE (anche attraverso procedure di riesame amministrativo o di reclamo, procedure speciali di ricorso oppure commissioni mediche) e il seguito datovi, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

e) la segnalazione di eventuali attività illecite o violazioni dei doveri professionali tramite lo strumento per la segnalazione whistleblowing della BCE o la valutazione delle richieste dell’Ufficio di conformità e governance (Compliance and Governance Office, CGO) di protezione degli informatori o dei testimoni da ritorsioni, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

f) le attività del CGO in base al quadro etico della BCE stabilito nella parte 0 delle norme sul personale della BCE e alle norme sulla selezione e nomina di cui alla parte 1A delle norme sul personale della BCE, nonché il monitoraggio a fini di conformità delle attività finanziarie private incluse sia le funzioni svolte dal fornitore di servizi esterni nominato ai sensi dell’articolo 0.4.3.3 delle norme sul personale della BCE, che la valutazione e il seguito dato a potenziali violazioni che risultano da tale monitoraggio da parte del CGO, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), f) e/o h), del regolamento (UE) 2018/1725;

g) verifiche effettuate dalla direzione Revisione interna, attività di indagine e indagini amministrative interne, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

h) lo svolgimento delle funzioni della BCE in virtù della decisione (UE) 2016/456 (BCE/2016/3), in particolare il dovere della BCE di segnalare qualsiasi informazione in merito ad attività illecite, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), g) e/o h), del regolamento (UE) 2018/1725;

i) indagini condotte dal DPO in merito alle attività di trattamento svolte presso la BCE ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28), la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b) e/o h), del regolamento (UE) 2018/1725;

j) indagini volte a garantire la sicurezza fisica presso la BCE di persone, locali e beni, gestite internamente o con sostegno esterno, la raccolta di informazioni sulle minacce e l’analisi degli incidenti di sicurezza, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

k) procedimenti giudiziari, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c) e/o h), del regolamento (UE) 2018/1725;

l) la cooperazione tra la BCE e le autorità nazionali responsabili delle indagini penali, in particolare la comunicazione di informazioni riservate detenute dalla BCE a fini di comunicazione a un’autorità nazionale responsabile delle indagini penali su richiesta di quest’ultima, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

m) la cooperazione tra la BCE e l’EPPO ai sensi del regolamento (UE) 2017/1939, in particolare il dovere della BCE di fornire informazioni sui reati, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere b), c), d) e/o h), del regolamento (UE) 2018/1725;

n) la cooperazione con gli organi dell’Unione che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta la BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettere c), d), g) e/o h), del regolamento (UE) 2018/1725;

o) lo svolgimento dei compiti di un mediatore ai sensi del quadro interno per la risoluzione delle controversie presso la BCE, in particolare fornendo sostegno per contribuire a risolvere o prevenire una controversia di natura professionale, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725;

p) la prestazione di servizi di consulenza da parte del consulente sociale a sostegno del personale della BCE, la cui salvaguardia è garantita in conformità all’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725.

2. Il responsabile del trattamento può applicare una limitazione solo se, sulla base di una valutazione caso per caso, conclude che la limitazione:

a) è necessaria e proporzionata, tenuto conto dei rischi per i diritti e le libertà dell’interessato; e

b) rispetta l’essenza dei diritti e delle libertà fondamentali in una società democratica.

3. Il titolare del trattamento documenta la propria valutazione in una nota di valutazione interna che comprende la base giuridica, le motivazioni della limitazione, i diritti degli interessati oggetto di limitazione, gli interessati, la necessità e la proporzionalità della limitazione e la sua durata probabile.

4. Una decisione di limitare i diritti di un interessato ai sensi del paragrafo 1 che deve essere adottata dal titolare del trattamento è assunta al livello del pertinente capo o vicecapo dell’unità operativa nella quale è condotta la principale operazione di trattamento che coinvolge i dati personali.

Articolo 4 Comunicazione di informazioni generali sulle limitazioni

Il titolare del trattamento mette a disposizione le seguenti informazioni di carattere generale sulle potenziali limitazioni dei diritti dell’interessato:

a) il titolare del trattamento precisa i diritti che possono essere limitati, i motivi della limitazione e la sua potenziale durata;

b) il titolare del trattamento include le informazioni di cui alla lettera a) nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri delle attività di trattamento di cui all’articolo 31 del regolamento (UE) 2018/1725.

Articolo 5 Limitazione del diritto di accesso degli interessati, del diritto di rettifica, del diritto di cancellazione o di limitazione del trattamento

1. Qualora limiti, in tutto o in parte, il diritto di accesso, il diritto di rettifica, il diritto di cancellazione o il diritto di limitazione di trattamento di cui, rispettivamente, agli articoli 17, 18, 19, paragrafo 1, e 20, paragrafo 1, del regolamento (UE) 2018/1725, il titolare del trattamento, nella sua risposta scritta alla richiesta, informa l’interessato entro il termine di cui all’articolo 11, paragrafo 5, della decisione (UE) 2020/655 (BCE/2020/28), dei motivi principali della limitazione, della possibilità di proporre reclamo al Garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

2. Il titolare del trattamento conserva la nota di valutazione interna di cui all’articolo 3, paragrafo 3, e, se del caso, i documenti contenenti i relativi elementi di fatto e di diritto e li mette a disposizione del DPO e del Garante europeo della protezione dei dati su richiesta.

3. Il titolare del trattamento può rinviare, omettere o negare la comunicazione di informazioni relative ai motivi della limitazione di cui al paragrafo 1, fintantoché sussiste il rischio di compromettere la finalità della limitazione stessa. Il titolare del trattamento è tenuto a mettere a disposizione le informazioni all’interessato non appena ritenga che ciò non comprometta più la finalità della limitazione.

Articolo 6 Durata delle limitazioni

1. Il titolare del trattamento revoca la limitazione non appena cessano di sussistere le circostanze che la giustificavano.

2. Qualora il controllore revochi una limitazione ai sensi del paragrafo 1, è tenuto a:

a) se non lo ha già fatto, informare l’interessato dei principali motivi su cui si basava l’applicazione di una limitazione;

b) informare l’interessato del suo diritto a proporre reclamo al Garante europeo della protezione dei dati o a proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea;

c) concedere all’interessato il diritto che era oggetto della limitazione ormai revocata.

3. Il titolare del trattamento riesamina ogni sei mesi la necessità di mantenere una limitazione applicata a norma della presente decisione e documenta il riesame in una nota di valutazione interna.

Articolo 7 Garanzie

La BCE applica garanzie organizzative e tecniche come indicato nell’allegato XV per prevenire abusi o accessi o trasferimenti illeciti.

Articolo 8 Riesame da parte del DPO

1. Qualora limiti l’applicazione dei diritti dell’interessato, il titolare del trattamento è tenuto a coinvolgere costantemente il DPO. In particolare, si applicano le seguenti disposizioni:

a) il titolare del trattamento consulta senza indebito ritardo il DPO;

b) su richiesta del DPO, il titolare del trattamento fornisce al DPO l’accesso a tutti i documenti contenenti i relativi elementi di fatto e di diritto, compresa la nota di valutazione interna di cui all’articolo 3, paragrafo 3;

c) il titolare del trattamento documenta il modo in cui è stato coinvolto il DPO, comprese le informazioni pertinenti condivise con quest’ultimo, in particolare la data della sua prima consultazione di cui alla lettera a);

d) il DPO può chiedere al titolare del trattamento di riesaminare la limitazione;

e) il titolare del trattamento informa il DPO per iscritto dell’esito del riesame richiesto senza indebito ritardo e in ogni caso prima dell’applicazione di qualsiasi limitazione.

2. Il titolare del trattamento informa il DPO quando la limitazione è stata riesaminata a norma dell’articolo 6, paragrafo 3, o quando è stata revocata.

Articolo 9 Entrata in vigore

La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Francoforte sul Meno, il 22 novembre 2022 La presidente della BCE Christine Lagarde

ANNEX

ALLEGATO I Valutazione e segnalazione di eventuali violazioni dei doveri professionali e, se necessario, l’indagine e il seguito successivi

La limitazione di cui all’articolo 3, paragrafo 1, lettera a) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati relativi all’ubicazione;

g)

dati relativi a beni o servizi forniti;

h)

dati sulle attività esterne;

i)

dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, dati genetici o biometrici, dati riguardanti la salute, ovvero dati relativi alla vita sessuale o all’orientamento sessuale di una persona fisica;

j)

qualsiasi altro dato relativo alla valutazione e alla segnalazione di eventuali violazioni dei doveri professionali e, se necessario, all’indagine e al seguito successivi.

ALLEGATO II Procedure informali e/o formali in materia di dignità sul posto di lavoro, compreso l’esame dei casi che possono sfociare in una procedura di cui alla parte 0.5 delle norme sul personale della BCE

La limitazione di cui all’articolo 3, paragrafo 1, lettera b) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati relativi all’ubicazione;

g)

dati relativi a beni o servizi forniti;

h)

i)

qualsiasi altro dato relativo alle procedure informali e/o formali in materia di dignità sul posto di lavoro, compreso l’esame dei casi che possono sfociare in una procedura di cui alla parte 0.5 delle norme sul personale della BCE.

ALLEGATO III Lo svolgimento delle funzioni della DG/HR ai sensi del quadro giuridico che disciplina l’impiego presso la BCE

La limitazione di cui all’articolo 3, paragrafo 1, lettera c) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati relativi all’ubicazione;

g)

dati relativi a beni o servizi forniti;

h)

i)

qualsiasi altro dato incluso nelle valutazioni dei singoli casi o relativo ad esse, in particolare quelli che possono sfociare in una decisione che arreca pregiudizio al personale della BCE e all’esame dei ricorsi interni proposti dal personale della BCE e al seguito datovi;

j)

qualsiasi altro dato relativo alle procedure di selezione.

ALLEGATO IV Esame dei ricorsi interni e seguito datovi

La limitazione di cui all’articolo 3, paragrafo 1, lettera d) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati relativi all’ubicazione;

g)

dati relativi a beni o servizi forniti;

h)

i)

ALLEGATO V La segnalazione di qualsiasi attività illecita o violazione dei doveri professionali presentata tramite qualsiasi canale, anche attraverso lo strumento della BCE per la segnalazione whistleblowing o la valutazione da parte dell’Ufficio di conformità e governance delle richieste di protezione degli informatori o dei testimoni

La limitazione di cui all’articolo 3, paragrafo 1, lettera e) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati relativi all’ubicazione;

g)

dati relativi a beni o servizi forniti;

h)

dati sulle attività esterne;

i)

j)

qualsiasi altro dato relativo a presunte attività illecite o presunte violazioni dei doveri professionali o a qualsiasi richiesta di protezione di informatori o testimoni.

ALLEGATO VI Attività del CGO ai sensi delle norme sul personale della BCE

La limitazione di cui all’articolo 3, paragrafo 1, lettera f) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio informazioni sulle transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

h)

qualsiasi altro dato relativo a qualsiasi attività segnalata al CGO o oggetto di indagine da parte di quest’ultimo.

ALLEGATO VII Verifiche effettuate dalla direzione Revisione interna e attività di indagine o indagini amministrative interne

La limitazione di cui all’articolo 3, paragrafo 1, lettera g) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

dati relativi all’ubicazione;

h)

dati relativi a beni o servizi forniti;

i)

dati sociali e comportamentali e altri tipi di dati specifici delle operazioni di trattamento;

j)

informazioni riguardanti procedimenti amministrativi o altre indagini;

k)

dati sul traffico elettronico;

l)

dati di videosorveglianza;

m)

registrazioni audio;

n)

o)

dati relativi a procedimenti penali, sanzioni amministrative o qualsiasi altra sanzione;

p)

qualsiasi altro dato relativo alle verifiche effettuate dalla direzione Revisione interna e a qualsiasi attività di indagine o indagine amministrativa interna.

ALLEGATO VIII Lo svolgimento delle funzioni della BCE ai sensi della decisione (UE) 2016/456 (BCE/2016/3)

La limitazione di cui all’articolo 3, paragrafo 1, lettera h) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio informazioni su retribuzioni o indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

dati relativi all’ubicazione;

h)

dati su beni o servizi forniti;

i)

dati sul traffico elettronico;

j)

dati di videosorveglianza;

k)

registrazioni audio;

l)

m)

qualsiasi altro dato relativo allo svolgimento delle funzioni della BCE ai sensi della decisione (UE) 2016/456 (BCE/2016/3).

ALLEGATO IX Indagini svolte dal DPO ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28)

La limitazione di cui all’articolo 3, paragrafo 1, lettera i) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio informazioni su retribuzioni o indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

ubicazione dei dati;

h)

dati relativi a beni o servizi forniti;

i)

dati sul traffico elettronico;

j)

k)

qualsiasi altro dato relativo a qualsiasi indagine condotta dal DPO ai sensi dell’articolo 4, lettera b), della decisione (UE) 2020/655 (BCE/2020/28).

ALLEGATO X Indagini volte a garantire la sicurezza fisica presso la BCE di persone, locali e beni, la raccolta di informazioni sulle minacce e l’analisi degli incidenti di sicurezza

La limitazione di cui all’articolo 3, paragrafo 1, lettera j) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati relativi all’ubicazione;

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sul traffico elettronico;

g)

dati di videosorveglianza;

h)

registrazioni audio;

i)

j)

dati relativi a procedimenti penali pendenti o casellari giudiziari;

k)

qualsiasi altro dato relativo alle indagini volte a garantire la sicurezza fisica presso la BCE di persone, locali e beni, alla raccolta di informazioni sulle minacce o all’analisi degli incidenti di sicurezza.

ALLEGATO XI Procedimenti giudiziari

La limitazione di cui all’articolo 3, paragrafo 1, lettera k) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

ubicazione dei dati;

h)

dati sul traffico elettronico;

i)

j)

qualsiasi altro dato relativo ai procedimenti giudiziari.

ALLEGATO XII La cooperazione tra la BCE e le autorità nazionali responsabili delle indagini penali, l’EPPO e gli organi dell’UE che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta la BCE

La limitazione di cui all’articolo 3, paragrafo 1, lettere da l) a n) della presente decisione può essere applicata alle categorie di dati personali menzionate negli allegati da I a XI, nonché alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati identificativi;

b)

dati di contatto;

c)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

d)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

e)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

f)

dati sulle attività esterne;

g)

dati relativi all’ubicazione;

h)

dati relativi a beni o servizi forniti;

i)

dati di videosorveglianza;

j)

dati sul traffico elettronico;

k)

registrazioni audio;

l)

m)

informazioni riguardanti procedimenti amministrativi o altre indagini;

n)

dati relativi a procedimenti penali, sanzioni amministrative o qualsiasi altra sanzione;

o)

qualsiasi altro dato relativo alla cooperazione tra la BCE e le autorità nazionali responsabili delle indagini penali, l’EPPO e gli organi dell’UE che esercitano una funzione di vigilanza, sorveglianza o revisione cui è soggetta la BCE.

ALLEGATO XIII Lo svolgimento dei compiti del mediatore

La limitazione di cui all’articolo 3, paragrafo 1, lettera o) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati di contatto;

b)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

c)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

d)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

e)

dati sociali e comportamentali e altri tipi di dati specifici delle operazioni di trattamento;

f)

informazioni riguardanti procedimenti amministrativi o altre indagini regolamentari;

g)

h)

qualsiasi altro dato relativo allo svolgimento dei compiti del mediatore.

ALLEGATO XIV Prestazione di servizi di consulenza da parte del consulente sociale

La limitazione di cui all’articolo 3, paragrafo 1, lettera p) della presente decisione può essere applicata alle categorie di dati menzionate nei pertinenti registri di trattamento, in particolare alle seguenti categorie di dati personali:

a)

dati di contatto;

b)

dati professionali, compresi i dati relativi all’istruzione, alla formazione e all’occupazione;

c)

dati finanziari (ad esempio, informazioni su retribuzione, indennità o transazioni private);

d)

dati relativi alla famiglia, allo stile di vita e alle condizioni sociali;

e)

dati sociali e comportamentali e altri tipi di dati specifici delle operazioni di trattamento;

f)

informazioni riguardanti procedimenti amministrativi o altre indagini regolamentari;

g)

h)

qualsiasi altro dato relativo alla prestazione dei servizi di consulenza da parte del consulente sociale.

ALLEGATO XV

Le garanzie organizzative e tecniche presso la BCE per prevenire abusi o il trattamento illecito di dati personali comprendono:

per quanto riguarda le persone:

i)

tutte le persone che hanno accesso a informazioni non pubbliche della BCE sono responsabili per quanto riguarda la conoscenza e l’applicazione della politica e delle norme della BCE sulla gestione e la riservatezza delle informazioni;

ii)

una procedura relativa ai nulla osta di sicurezza che garantisca come solo le persone sottoposte a controllo e autorizzate abbiano accesso ai locali della BCE e alle relative informazioni non pubbliche;

iii)

misure di sensibilizzazione alla sicurezza informatica, delle informazioni e fisica e svolgimento di formazioni periodiche per il personale della BCE e i fornitori esterni di servizi;

iv)

il personale della BCE è soggetto a rigorose norme in materia di segreto professionale stabilite nelle condizioni di impiego e nelle norme sul personale della BCE, la cui violazione dà luogo a sanzioni disciplinari;

v)

norme e obblighi che disciplinano l’accesso dei fornitori esterni di servizi o degli appaltatori alle informazioni non pubbliche della BCE che sono stabilite in accordi contrattuali;

vi)

controlli degli accessi, compresa la suddivisione in zone di sicurezza, eseguiti in modo da garantire che l’accesso delle persone alle informazioni non pubbliche della BCE sia autorizzato e limitato sulla base delle esigenze operative e dei requisiti di sicurezza;

per quanto riguarda i processi:

i)

sono posti in atto processi per garantire l’attuazione, il funzionamento e la manutenzione controllati delle applicazioni informatiche a supporto dell’attività della BCE;

ii)

utilizzo di applicazioni informatiche per l’attività della BCE che siano conformi agli standard di sicurezza della BCE;

iii)

presenza di un programma completo di sicurezza fisica che valuti costantemente le minacce alla sicurezza e comprenda misure di sicurezza fisica atte a garantire un adeguato livello di protezione;

per quanto riguarda la tecnologia:

i)

tutti i dati elettronici sono conservati in applicazioni informatiche conformi agli standard di sicurezza della BCE e quindi protetti da accessi o alterazioni non autorizzati;

ii)

le applicazioni informatiche sono implementate, gestite e mantenute a un livello di sicurezza commisurato alle esigenze di riservatezza, integrità e disponibilità delle applicazioni informatiche, che sono basate su analisi di impatto operativo;

iii)

il livello di sicurezza delle applicazioni informatiche è regolarmente convalidato mediante valutazioni della sicurezza tecniche e non tecniche;

iv)

l’accesso alle informazioni non pubbliche della BCE è concesso conformemente al principio della necessità di sapere e l’accesso privilegiato è strettamente limitato e rigorosamente controllato;

v)

sono posti in atto controlli per individuare e dare seguito alle violazioni di sicurezza effettive e potenziali.

Versioni

2022-11-22