Decisione del Comitato europeo per il rischio sistemico del 13 luglio 2012 che attua le misure relative alla protezione dei dati personali presso il Comitato europeo per il rischio sistemico (CERS/2012/1) 2012/C 286/11
Grado B
mappato dal markup dell’editore. Il grado indica come è stata ottenuta la struttura di un documento, non quanto sia affidabile la legge.
Non è la legge stessa: Avviso
Indirizzo https://gelex.eu/eli/EU/notice/oj/C/2012/286/11@2012-07-13/it
IL CONSIGLIO GENERALE DEL COMITATO EUROPEO PER IL RISCHIO SISTEMICO,
visto l’articolo 16 del trattato sul funzionamento dell’Unione europea,
visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di dati, in particolare l’articolo 24, paragrafo 8, e l’allegato,
consultato il Garante europeo della protezione dei dati (GEPD),
considerando quanto segue:
(1) Il regolamento (CE) n. 45/2001 stabilisce i principi e le regole applicabili a tutte le istituzioni e gli organismi dell’Unione europea e prevede la nomina di un responsabile della protezione dei dati (RPD) da parte di ogni istituzione e organismo dell’Unione.
(2) In virtù dell’articolo 24, paragrafo 8, del regolamento (CE) n. 45/2001, ogni istituzione o organismo dell’Unione deve adottare altre norme d’attuazione relative al responsabile della protezione dei dati nel rispetto delle disposizioni che figurano nell'allegato del regolamento stesso.
(3) È opportuno inserire alcune disposizioni in merito ai responsabili del trattamento e ai coordinatori della protezione dei dati, i cui compiti e doveri sono collegati a quelli del responsabile della protezione dei dati, e al regolamento dei diritti degli interessati,
HA ADOTTATO LA PRESENTE DECISIONE:
SEZIONE 1 DISPOSIZIONI GENERALI
Articolo 1 Oggetto e campo d’applicazione
La presente decisione stabilisce le norme relative:
a) alla nomina e allo status del responsabile della protezione dei dati del Comitato europeo per il rischio sistemico (CERS), nonché ai suoi compiti, doveri e poteri;
b) al ruolo, ai compiti e ai doveri dei responsabili del trattamento e dei coordinatori della protezione dei dati;
c) all’esercizio dei propri diritti da parte degli interessati.
Articolo 2 Definizioni
Ai fini della presente decisione, si applicano le seguenti definizioni:
a) per responsabile del trattamento s’intende il responsabile dell’unità organizzativa che determina le finalità e i mezzi dell’elaborazione dei dati personali;
b) per coordinatore della protezione dei dati s’intende un membro del personale che assiste un responsabile del trattamento nell’adempimento degli obblighi di quest’ultimo relativi alla protezione dei dati. Tale persona è specialista nella gestione degli archivi.
SEZIONE 2 RESPONSABILE DELLA PROTEZIONE DEI DATI
Articolo 3 Nomina, status e questioni organizzative
1. Il Consiglio generale:
a) nomina un responsabile della protezione dei dati con un grado sufficiente di anzianità da soddisfare le condizioni di cui all’articolo 24 del regolamento (CE) n. 45/2001;
b) ne stabilisce la durata del mandato, compresa tra due e cinque anni.
2. Il Consiglio generale garantisce che il responsabile della protezione dei dati svolga i propri compiti e adempia ai propri doveri in maniera indipendente. Fatta salva tale indipendenza, prima di compiere una valutazione sullo svolgimento dei compiti e sull’adempimento dei doveri da parte del responsabile della protezione dei dati, coloro che effettuano tale valutazione consultano il GEPD.
3. Il responsabile del trattamento competente garantisce che il responsabile della protezione dei dati sia informato senza ritardo:
a) di questioni che abbiano o possano avere implicazioni legate alla protezione dei dati; e
b) di tutti i contatti tra il CERS e le parti esterne avvenuti in relazione all’applicazione del regolamento (CE) n. 45/2001, in particolare di qualunque interazione con il GEPD.
4. Il Consiglio generale può nominare un sostituto responsabile della protezione dei dati, cui si applica il disposto dei paragrafi 1, 2 e 6 dell'articolo 24 del regolamento (CE) n. 45/2001. Il sostituto assiste il responsabile della protezione dei dati nello svolgimento dei suoi compiti e nell’adempimento dei suoi doveri e lo sostituisce in caso di assenza.
5. Il personale che presta assistenza al responsabile della protezione dei dati in relazione a questioni attinenti alla protezione dei dati agisce esclusivamente sulla base di sue istruzioni.
6. Il responsabile della protezione dei dati può essere destituito con il consenso del GEPD, qualora non soddisfi più le condizioni necessarie per lo svolgimento dei suoi compiti e l’adempimento dei suoi doveri.
Articolo 4 Compiti e doveri del responsabile della protezione dei dati
Nello svolgimento dei compiti specificati nell’articolo 24 del regolamento (CE) n. 45/2001 e nel suo allegato, il responsabile della protezione dei dati adempie ai seguenti doveri, tenendo conto del contributo del Segretariato del CERS:
a) diffonde la conoscenza dei problemi legati alla protezione dei dati e promuove la cultura della protezione dei dati personali all'interno del CERS;
b) presta consulenza al Consiglio generale, al Comitato direttivo, al Segretariato, al responsabile del trattamento e al coordinatore della protezione dei dati in merito a questioni che riguardano l’applicazione delle disposizioni sulla protezione dei dati al CERS. Il responsabile della protezione dei dati può essere consultato dal Consiglio generale, dal Comitato direttivo, dal Segretariato, dal responsabile del trattamento interessato o da qualunque individuo su qualsiasi questione attinente all’interpretazione o all’applicazione del regolamento (CE) n. 45/2001;
c) coopera con il GEPD su richiesta di quest’ultimo o di propria iniziativa e risponde alle richieste che il GEPD indirizza al responsabile della protezione dei dati del CERS;
d) stabilisce la probabilità che un’operazione di trattamento presenti rischi specifici ai sensi dell’articolo 27 del regolamento (CE) n. 45/2001 e sia pertanto sottoposta a controllo preventivo. Il responsabile della protezione dei dati consulta il responsabile del trattamento interessato, ove necessario. In caso di dubbio circa la necessità di controllo preventivo è consultato il GEPD, in conformità all'articolo 27, paragrafo 3, del regolamento (CE) n. 45/2001;
e) su richiesta del Consiglio generale, del Comitato direttivo, del Segretariato o di qualunque individuo o di propria iniziativa, effettua indagini su questioni o avvenimenti direttamente riguardanti i compiti e i doveri del responsabile della protezione dei dati e ne fa relazione alla persona che l’ha incaricato dell’indagine. Il responsabile della protezione dei dati considera le questioni e i fatti imparzialmente e col dovuto rispetto dei diritti dell'interessato. Qualora lo ritenga opportuno, il responsabile della protezione dei dati informa le altre parti interessate di conseguenza. Se colui che richiede l’indagine è un individuo, o agisce per conto di un individuo, il responsabile della protezione dei dati garantisce, nei limiti del possibile, che la richiesta rimanga riservata, salvo che l'interessato non dia il proprio consenso univoco al trattamento della richiesta in maniera differente;
f) coopera con il responsabile della protezione dei dati di altre istituzioni e organismi dell’Unione, in particolare mediante lo scambio di esperienze e la condivisione di conoscenze, nonché rappresentando il CERS in tutte le discussioni — salvo in giudizio — riguardanti questioni attinenti alla protezione dei dati; e
g) presenta al Consiglio generale e al GEDP un programma annuale di lavoro e una relazione annuale sulle attività del responsabile della protezione dei dati.
Articolo 5 Poteri del responsabile della protezione dei dati
1. Il responsabile della protezione dei dati può:
a) richiedere un parere al Segretariato del CERS su qualsiasi questione relativa ai propri compiti e doveri;
b) formulare un parere sulla legalità di operazioni di trattamento in atto o proposte, ovvero su qualsiasi questione riguardante la notifica di operazioni di trattamento;
c) portare all’attenzione del capo del Segretariato del CERS eventuali inadempimenti da parte del personale degli obblighi previsti dal regolamento (CE) n. 45/2001;
d) avere accesso in qualsiasi momento ai dati oggetto delle operazioni di trattamento in materia di dati personali e a tutti gli uffici, le installazioni per il trattamento dei dati e i supporti di dati;
e) essere coinvolto nella stesura da parte del CERS delle norme interne relative alla protezione dei dati personali;
f) tenere un elenco anonimo di richieste scritte degli interessati in merito all’esercizio dei propri diritti; e
g) svolgere le altre funzioni specificate nell’allegato del regolamento (CE) n. 45/2001.
2. Fatti salvi i compiti e i doveri del responsabile del trattamento, il responsabile della protezione dei dati ha il potere di sottoscrivere la corrispondenza che prepara, entro i limiti del proprio mandato.
SEZIONE 3 RESPONSABILE DEL TRATTAMENTO E COORDINATORE
Articolo 6 Compiti e doveri dei responsabili del trattamento e dei coordinatori della protezione dei dati
1. I responsabili del trattamento assicurano che tutte le operazioni di trattamento che interessino dati personali, eseguite nell’ambito della propria area di responsabilità, siano conformi al regolamento (CE) n. 45/2001.
2. Nell'adempimento dell’obbligo di assistere il responsabile della protezione dei dati e il GEPD nello svolgimento dei rispettivi compiti, i responsabili del trattamento forniscono loro informazioni complete, danno loro accesso ai dati personali e rispondono alle domande entro 20 giorni lavorativi dal ricevimento della richiesta.
3. I responsabili del trattamento informano il responsabile della protezione dei dati tempestivamente quando ricevono una richiesta di accesso a dati personali, ovvero affinché siano rettificati, resi inaccessibili o rimossi, o in merito al diritto di opporsi degli interessati, o qualsiasi reclamo relativo a questioni attinenti alla protezione dei dati.
4. Fatte salve le responsabilità dei responsabili del trattamento:
a) i coordinatori della protezione dei dati assistono i responsabili del trattamento nell’adempimento dei propri obblighi, su loro richiesta ovvero di propria iniziativa. Nel fare ciò, i coordinatori della protezione dei dati contattano il personale dei responsabili del trattamento, che fornisce loro tutte le informazioni necessarie. A discrezione del responsabile del trattamento competente, ciò può includere l’accesso a dati personali trattati sotto la sua responsabilità;
b) i coordinatori della protezione dei dati assistono il responsabile della protezione dei dati:
i) nell’identificazione dei responsabili competenti per le operazioni di trattamento relative a dati personali;
ii) nel rendere noti i suoi pareri e nel prestare sostegno ai responsabili del trattamento, sulla base delle direttive del responsabile della protezione dei dati;
iii) in merito ad altri aspetti del programma di lavoro del responsabile della protezione dei dati, come concordato tra quest’ultimo e la dirigenza dei coordinatori della protezione dei dati.
Articolo 7 Procedura di notifica
1. Prima di introdurre nuove operazioni di trattamento relative a dati personali, il responsabile del trattamento competente ne dà notifica al responsabile della protezione dei dati utilizzando l’interfaccia on line accessibile tramite la sua pagina web nell’Intranet del CERS. Qualunque operazione di trattamento soggetta a controllo preventivo in virtù dell’articolo 27, paragrafo 3, del regolamento (CE) n. 45/2001 è notificata con un anticipo sufficiente a consentire tale controllo da parte del GEPD.
2. Il responsabile del trattamento competente informa immediatamente il responsabile della protezione dei dati di qualunque modifica che riguardi informazioni contenute in una notifica già presentata al responsabile della protezione dei dati.
SEZIONE 4 DIRITTI DEGLI INTERESSATI
Articolo 8 Registro
Il registro tenuto dal responsabile della protezione dei dati, in conformità all’articolo 26 del regolamento (CE) n. 45/2001, ha la funzione di indice di tutte le operazioni di trattamento relative a dati personali effettuate presso il CERS. Gli interessati possono fare uso delle informazioni contenute nel registro per esercitare i propri diritti ai sensi degli articoli da 13 a 19 del regolamento (CE) n. 45/2001.
Articolo 9 Esercizio dei diritti degli interessati
1. Quale conseguenza del diritto di essere opportunamente informati in merito a qualsiasi trattamento dei propri dati personali, gli interessati possono rivolgersi al responsabile del trattamento competente al fine di esercitare i propri diritti conformemente agli articoli da 13 a 19 del regolamento (CE) n. 45/2001, come specificato di seguito:
a) tali diritti possono essere esercitati solo da parte degli interessati o da rappresentanti da essi debitamente autorizzati. Tali soggetti possono esercitare ciascuno di tali diritti gratuitamente;
b) le richieste di esercizio di tali diritti sono dirette per iscritto al responsabile del trattamento competente. Questi accoglie la richiesta solo se l’identità del richiedente e, se del caso, il suo diritto a rappresentare l’interessato, siano stati debitamente verificati. Il responsabile del trattamento informa l’interessato, senza ritardo e per iscritto, dell’avvenuta accettazione o meno della richiesta. Se la richiesta è stata rigettata, il responsabile del trattamento menziona le ragioni di tale rigetto;
c) il responsabile del trattamento, in qualunque momento entro tre mesi solari dal ricevimento della richiesta, consente l’accesso in conformità all’articolo 13 del regolamento (CE) n. 45/2001, autorizzando gli interessati a consultare i dati sul posto o a riceverne copia, a scelta del richiedente;
d) gli interessati possono contattare il responsabile della protezione dei dati nel caso in cui il responsabile del trattamento non rispetti uno dei limiti temporali di cui alle lettere b) o c). Nel caso di un abuso palese nell’esercizio dei propri diritti da parte di un interessato, il responsabile del trattamento può rimetterlo al responsabile della protezione dei dati. Qualora ciò avvenga, questi decide nel merito della richiesta e sul seguito opportuno. In caso di disaccordo tra l’interessato e il responsabile del trattamento, entrambe le parti hanno il diritto di consultare il responsabile della protezione dei dati.
2. Il personale può consultare il responsabile della protezione dei dati prima di presentare un reclamo al GEPD.
Articolo 10 Esenzioni e restrizioni
1. A condizione che il responsabile della protezione dei dati sia stato preliminarmente consultato, il responsabile del trattamento può porre limiti ai diritti di cui agli articoli da 13 a 17 del regolamento (CE) n. 45/2001, per i motivi di cui all’articolo 20 del regolamento (CE) n. 45/2001, e in conformità alle condizioni ivi stabilite.
2. Qualunque persona coinvolta può chiedere al GEPD di applicare il disposto dell’articolo 47, paragrafo 1, lettera c), del regolamento (CE) n. 45/2001.
Articolo 11 Indagine
1. Qualunque richiesta di indagine ai sensi del punto 1) dell’allegato del regolamento (CE) n. 45/2001 è indirizzata al responsabile della protezione dei dati per iscritto.
2. Questi invia un avviso di ricevimento al richiedente entro 20 giorni lavorativi decorrenti dal ricevimento della richiesta.
3. Il responsabile della protezione dei dati può indagare sulla questione sul posto e chiedere una dichiarazione scritta al responsabile del trattamento interessato. Quest’ultimo fornisce una risposta al responsabile della protezione dei dati entro 20 giorni lavorativi decorrenti dal momento in cui il responsabile del trattamento ha ricevuto la richiesta del responsabile della protezione dei dati. Il responsabile della protezione dei dati può richiedere ulteriori informazioni o assistenza al Segretariato. Tali informazioni o assistenza sono fornite entro 20 giorni lavorativi decorrenti dal ricevimento della richiesta del responsabile della protezione dei dati.
4. Il responsabile della protezione dei dati riferisce al richiedente entro tre mesi solari decorrenti dal ricevimento della richiesta.
SEZIONE 5 ENTRATA IN VIGORE
Articolo 12 Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Fatto a Francoforte sul Meno, il 13 luglio 2012 Il presidente del CERS Mario Draghi